NIS2: německá dodatečná lhůta končí

Dodatečná lhůta končí 31. července 2026

Německý zákon provádějící NIS2 – NIS2UmsuCG – je účinný od prosince 2025, a to bez přechodného období. Dotčené subjekty se musely do tří měsíců zaregistrovat u BSI, německého spolkového úřadu pro kybernetickou bezpečnost; tato lhůta uplynula 6. března 2026. Výsledek byl střízlivý: z odhadovaných 29 500 dotčených společností v Německu se do termínu zaregistrovalo jen přibližně 11 500.

BSI od té doby dalo jasně najevo, že nevyřízené registrace očekává do 31. července 2026. Tato dodatečná lhůta je příležitostí, nikoli volnou vstupenkou: registrační povinnost platí od března a už samotné její porušení lze pokutovat částkou až 500 000 eur.

• Zákon účinný od prosince 2025, lhůta pro registraci uplynula 6. března 2026
• Včas se zaregistrovala jen zhruba třetina dotčených společností
• BSI očekává opozdilce do 31. července 2026

Koho se to týká – a jak to zjistit

NIS2 rozlišuje zvlášť důležité a důležité subjekty v 18 odvětvích – od energetiky, dopravy a zdravotnictví po digitální infrastrukturu a zpracovatelský průmysl. Orientačně platí, že do působnosti mohou spadat společnosti v těchto odvětvích s 50 a více zaměstnanci nebo s ročním obratem a bilanční sumou nad 10 milionů eur; některé subjekty jsou zahrnuty bez ohledu na velikost. U mezinárodních skupin mějte na paměti, že německá dceřiná společnost může do působnosti spadat, i když je mateřská společnost regulována jinde.

Nespoléhejte na orientační pravidla. BSI poskytuje oficiální ověření dotčenosti NIS-2 (NIS-2-Betroffenheitsprüfung), které umožňuje strukturovaně určit a zdokumentovat vaše zařazení. Toto posouzení je odpovědností vedení – i zdokumentovaný závěr „nedotčeno“ by měl být uchován spolu se zdůvodněním.

Jak registrace probíhá

Registrace probíhá přes ohlašovací portál BSI, portál MUK. K ověření je potřeba organizační certifikát ELSTER – přihlašovací prostředek německé daňové správy. Pokud ho vaše organizace nemá, požádejte o něj okamžitě: jeho vydání obvykle trvá několik dní a těsně před termíny se stává úzkým hrdlem.

Pro samotnou registraci si připravte kmenová data: subjekt a odvětví, kontaktní údaje dosažitelné kontaktní osoby, rozsahy IP adres a členské státy, ve kterých jsou služby poskytovány. Při dobré přípravě je proces rychle hotový.

Po registraci začíná skutečná práce

Zákon od dotčených subjektů vyžaduje, aby udržovaly solidní soubor opatření k řízení rizik: od analýzy rizik a zvládání incidentů po zálohování, krizové řízení a bezpečnost dodavatelského řetězce. K tomu přistupují postupné povinnosti hlášení významných incidentů – prvotní hlášení do 24 hodin, navazující hlášení do 72 hodin a závěrečná zpráva po jednom měsíci – a také osobní povinnosti vedení, které musí opatření schvalovat a dohlížet na ně a absolvovat školení.

Za porušení těchto povinností jsou rozpětí pokut mnohem vyšší než u sankce za neregistraci: až 10 milionů eur nebo 2 % celosvětového ročního obratu u zvlášť důležitých subjektů a až 7 milionů eur nebo 1,4 % u důležitých subjektů.

• Řízení rizik odpovídající aktuálnímu stavu techniky, včetně dodavatelského řetězce
• Procesy hlášení, které skutečně zvládnou 24hodinové lhůty
• Prokazatelné řízení: odpovědnost leží na vedení

Od termínu ke struktuře

Červencový termín je dobrou příležitostí brát NIS2 ne jako formulář k vyplnění, ale jako strukturální úkol: požadavky, opatření, vlastníci a důkazy patří trvale propojené – ne do roztroušených tabulek, které se před každým auditem znovu přetřiďují.

Přesně pro to vytváříme Secani: pracovní prostor, ve kterém jsou požadavky z rámců jako NIS2 nebo IT-Grundschutz++ k dispozici ve strukturované podobě a implementace i důkazy se dokumentují dohledatelně. Pokud chcete dodatečnou lhůtu využít k něčemu víc než jen k samotné registraci, ozvěte se nám.