Прилагане на NIS2.

Германският Закон за транспониране на NIS2 и укрепване на киберсигурността (NIS2UmsuCG) въвежда Директива (ЕС) 2022/2555 в германското право. Той влиза в сила на 06.12.2025 г. без преходен срок за мерките за управление на риска. Задълженията са уредени в преработения Закон за BSI. § 28 BSIG определя кои субекти са особено важни или важни въз основа на сектора, размера на предприятието и някои специални случаи.

Основното задължение е в § 30 Abs. 1 BSIG: подходящи, пропорционални и ефективни технически и организационни мерки, които предотвратяват нарушения на наличността, целостта и поверителността на системите, използвани за услугите, и ограничават последиците от инциденти със сигурността. § 30 Abs. 2 BSIG посочва десет минимално необходими мерки. За доставчици на цифрови услуги като облачни услуги, центрове за данни и управлявани услуги предимство имат техническите изисквания на Регламент за изпълнение (ЕС) 2024/2690. Операторите на критични съоръжения имат допълнителни задължения по § 31 и § 39 BSIG.

Съгласно § 38 Abs. 1 BSIG ръководството е длъжно да прилага мерките и да наблюдава прилагането им. При нарушение на това задължение то отговаря пред собствения субект за виновно причинени вреди съгласно § 38 Abs. 2 BSIG и правилата на съответното дружествено право (вътрешна отговорност). Освен това § 38 Abs. 3 BSIG изисква членовете му редовно да участват в обучения. Прилагат се също задължението за регистрация по § 33 BSIG и задълженията за уведомяване по § 32 BSIG.

Нарушенията на § 30 и § 32 BSIG, включително липсата на документация по § 30 Abs. 1 Satz 3 BSIG, подлежат на имуществени санкции съгласно § 65 BSIG. Максимумът е 10 милиона евро за особено важни и 7 милиона евро за важни субекти. Ако общият световен оборот на предприятието надхвърля 500 милиона евро, вместо това се прилага процент от оборота: до 2 процента за особено важни и до 1,4 процента за важни субекти. При такъв оборот тази сума винаги е по-висока.

В Германия предприятията, обхванати от NIS2, се класифицират съгласно § 28 BSIG: решаващи са конкретният вид субект, размерът на предприятието и специалните правила за включване. Приложения 1 и 2 посочват обхванатите дейности. Следователно нито наименованието на сектора, нито броят на служителите без проверка на дейността дават достатъчен отговор.

Проверката на приложимостта разглежда отделното юридическо лице и неговите услуги. Съгласно § 28 Abs. 4 BSIG трябва да се вземат предвид и предприятията партньори и свързаните предприятия; разпоредбата съдържа изключение за информационно-технически независими предприятия. Специалните секторни правила по § 28 Abs. 5 и 6 BSIG също са част от проверката. BSI препоръчва решението и основанията за него да бъдат документирани дори когато субектът не е обхванат.

BSIG свързва задължението за документиране с надзорните правомощия на органите. § 61 BSIG се отнася до особено важни субекти; § 62 BSIG позволява проверки на важни субекти при наличие на съответни основания. Доброволен сертификат може да подкрепи документацията, но според BSI не замества доказването на всички законови задължения. Решаващо остава кой субект, кои услуги и кои мерки действително обхваща съответното доказателство.

ISO 27001 и IT-Grundschutz могат да подпомогнат организацията на информационната сигурност; BSI определя ISO сертифицирането като полезна основа за прилагането на BSIG. Регистрацията, законовите канали за уведомяване и задълженията на ръководството трябва да се разглеждат отделно. За финансовите субекти по DORA трябва да се проверят изключенията по § 28 Abs. 6 BSIG.

Мярка, която е приложена, но не е документирана, не може да бъде доказана пред BSI. Затова § 30 Abs. 1 Satz 3 BSIG превръща документирането в самостоятелно задължение. Според информационния пакет за това задължение BSI очаква решенията за и против мерките да са документирани с обосновка, да могат да се изведат от анализа на риска и да е видно как ръководството е наблюдавало прилагането им.

За особено важни субекти BSI може да разпорежда одити, проверки или сертифицирания и да изисква доказателства по § 61 BSIG, като съгласно § 61 Abs. 3 BSIG това е възможно най-рано три години след влизането в сила. За важни субекти BSI извършва проверки по § 62 BSIG, когато факти сочат нарушение. Подробният начин, по който BSI ще проверява доказателствата, още не е определен. Сигурно е, че документите за представяне при проверка трябва да са създадени предварително.

Прилагането става доказуемо, когато са свързани три неща: законовото изискване, мярката, с която го изпълнявате, и доказателството за нейното прилагане, всяко с отговорници и дата.

Сертифицирането по ISO/IEC 27001 е добра основа за това, но според BSI не доказва съответствие с NIS2. Обхватът, третирането на риска, задълженията за уведомяване и задълженията на ръководството могат да се различават и трябва да се проверят отделно.

Ако още не сте изяснили дали Вашият субект попада в § 28 BSIG, започнете с безплатната проверка на приложимостта. Документирайте резултата с обосновка. В информационния си пакет за задължението за документиране BSI препоръчва проверката да се документира и при отрицателен резултат и може да изиска тази документация съгласно § 33 Abs. 4 BSIG.

Ако сте обхванати и регистрирани, започнете с мярка 1. Десетте мерки са минималното съдържание; анализът на риска определя дълбочината на прилагане на всяка от тях. Проверката на напредъка показва за няколко минути докъде сте стигнали по всяка от десетте мерки и къде остават пропуски.