Zavedení NIS2.

Zákon o provedení NIS2 a posílení kybernetické bezpečnosti (NIS2UmsuCG) provádí směrnici (EU) 2022/2555 do německého práva. Vstoupil v platnost 6. 12. 2025 bez přechodného období pro opatření k řízení rizik. Povinnosti stanoví novelizovaný zákon o BSI. Zařazení mezi zvláště důležité nebo důležité subjekty upravuje § 28 BSIG podle odvětví, velikosti podniku a několika zvláštních případů.

Základní povinnost stanoví § 30 odst. 1 BSIG: vhodná, přiměřená a účinná technická a organizační opatření, která předcházejí narušení dostupnosti, integrity a důvěrnosti systémů používaných k poskytování služeb a omezují dopady bezpečnostních incidentů. § 30 odst. 2 BSIG uvádí deset opatření, která musí být zahrnuta alespoň. U poskytovatelů digitálních služeb, jako jsou cloudové služby, datová centra a řízené služby, mají přednost technické požadavky prováděcího nařízení (EU) 2024/2690. Provozovatelé kritických zařízení mají další povinnosti podle § 31 a § 39 BSIG.

Vedení je podle § 38 odst. 1 BSIG povinno opatření zavádět a dohlížet na jejich zavádění. Poruší-li tuto povinnost, odpovídá podle § 38 odst. 2 BSIG vlastnímu subjektu za zaviněné škody podle pravidel příslušného práva obchodních společností (vnitřní odpovědnost). § 38 odst. 3 BSIG dále požaduje pravidelnou účast členů vedení na školeních. Platí také registrační povinnost podle § 33 BSIG a ohlašovací povinnosti podle § 32 BSIG.

Za porušení § 30 a § 32 BSIG včetně chybějící dokumentace podle § 30 odst. 1 věty 3 BSIG lze uložit pokutu podle § 65 BSIG. Horní hranice činí 10 milionů eur pro zvláště důležité a 7 milionů eur pro důležité subjekty. Má-li podnik celosvětový celkový obrat přes 500 milionů eur, určuje se hranice podle obratu: až 2 procenta u zvláště důležitých a až 1,4 procenta u důležitých subjektů. Při této výši obratu jde vždy o vyšší částku.

Podniky spadající pod NIS2 se v Německu zařazují podle § 28 BSIG: rozhodující je konkrétní druh subjektu, velikost podniku a zvláštní pravidla zahrnutí. Přílohy 1 a 2 uvádějí dotčené činnosti. Samotné označení odvětví proto na otázku neodpovídá, stejně jako počet zaměstnanců bez posouzení činnosti.

Posouzení působnosti zkoumá jednotlivou právnickou osobu a její služby. Podle § 28 odst. 4 BSIG se zohledňují také partnerské a propojené podniky; pro podniky nezávislé z hlediska informačních technologií obsahuje ustanovení výjimku. Součástí posouzení jsou zvláštní odvětvová pravidla podle § 28 odst. 5 a 6 BSIG. BSI doporučuje zaznamenat rozhodnutí včetně jeho podkladů i tehdy, pokud subjekt do působnosti nespadá.

BSIG spojuje dokumentační povinnost s dohledovými pravomocemi úřadu. § 61 BSIG se týká zvláště důležitých subjektů; § 62 BSIG umožňuje kontrolu důležitých subjektů při odpovídajících indiciích. Dobrovolný certifikát může podpořit dokumentaci, podle výkladu BSI však nenahrazuje prokázání všech zákonných povinností. Rozhodující zůstává, který subjekt, služby a opatření konkrétní doklad skutečně pokrývá.

ISO 27001 a IT-Grundschutz mohou podpořit organizaci bezpečnosti informací; BSI označuje certifikaci ISO za užitečný základ pro zavedení BSIG. Registraci, zákonné ohlašovací cesty a povinnosti vedení je nutné posuzovat samostatně. U finančních subjektů podléhajících DORA je třeba prověřit výjimky podle § 28 odst. 6 BSIG.

Opatření, které je zavedeno, ale není zdokumentováno, nelze vůči BSI doložit. § 30 odst. 1 věta 3 BSIG proto stanoví dokumentaci jako samostatnou povinnost. BSI podle svého informačního balíčku k dokumentační povinnosti očekává, že rozhodnutí pro opatření i proti nim budou zaznamenána s odůvodněním, bude je možné odvodit z analýzy rizik a bude zřejmé, jak vedení na zavádění dohlíželo.

U zvláště důležitých subjektů může BSI podle § 61 BSIG nařídit audity, kontroly nebo certifikace a vyžádat si důkazy, podle § 61 odst. 3 BSIG nejdříve tři roky po vstupu zákona v platnost. U důležitých subjektů provádí kontroly podle § 62 BSIG, pokud skutečnosti nasvědčují porušení. Jak bude BSI důkazy podrobně ověřovat, dosud stanoveno není. Jisté je, že podklady určené k předložení při kontrole musí vzniknout předem.

Zavedení je prokazatelné, když jsou propojeny tři věci: zákonný požadavek, opatření, kterým jej plníte, a důkaz dokládající zavedení, vždy s odpovědnými osobami a datem.

Certifikace podle ISO/IEC 27001 je pro to dobrým základem, podle názoru BSI však není důkazem shody s NIS2. Rozsah, ošetření rizik, ohlašovací povinnosti a povinnosti vedení se mohou lišit a měly by se posuzovat samostatně.

Pokud jste dosud nevyjasnili, zda váš subjekt spadá pod § 28 BSIG, začněte bezplatným posouzením působnosti. Zaznamenejte výsledek s odůvodněním. BSI ve svém informačním balíčku k dokumentační povinnosti doporučuje dokumentovat posouzení i při negativním výsledku a může si tuto dokumentaci vyžádat podle § 33 odst. 4 BSIG.

Pokud do působnosti spadáte a jste registrováni, začněte opatřením 1. Deset opatření představuje minimální obsah; analýza rizik určuje hloubku jejich zavedení. Kontrola stavu zavedení vám během několika minut ukáže, jak daleko jste u každého z deseti opatření a kde ještě existují mezery.