Implementer NIS2.

Den tyske NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) gennemfører direktiv (EU) 2022/2555 i tysk ret. Loven trådte i kraft den 06.12.2025 uden overgangsperiode for risikostyringsforanstaltningerne. Pligterne står i den omarbejdede BSI-lov. § 28 BSIG fastlægger, hvem der er særligt vigtige eller vigtige enheder, ud fra sektor, virksomhedsstørrelse og visse særtilfælde.

Den centrale pligt står i § 30 Abs. 1 BSIG: passende, forholdsmæssige og effektive tekniske og organisatoriske foranstaltninger, som forebygger forstyrrelser af tilgængeligheden, integriteten og fortroligheden af de systemer, der bruges til tjenesterne, og begrænser følgerne af sikkerhedshændelser. § 30 Abs. 2 BSIG angiver ti foranstaltninger, som mindst skal indgå. For udbydere af digitale tjenester såsom cloud-, datacenter- og managed services har de tekniske krav i gennemførelsesforordning (EU) 2024/2690 forrang. Operatører af kritiske anlæg har yderligere pligter efter § 31 og § 39 BSIG.

Ledelsen er efter § 38 Abs. 1 BSIG forpligtet til at gennemføre foranstaltningerne og overvåge implementeringen. Tilsidesætter den denne pligt, hæfter den efter § 38 Abs. 2 BSIG over for sin egen enhed for skader, den culpøst har forvoldt, efter de relevante selskabsretlige regler (internt ansvar). § 38 Abs. 3 BSIG kræver desuden, at dens medlemmer regelmæssigt deltager i uddannelse. Hertil kommer registreringspligten efter § 33 BSIG og indberetningspligterne efter § 32 BSIG.

Overtrædelser af § 30 og § 32 BSIG, herunder manglende dokumentation efter § 30 Abs. 1 Satz 3 BSIG, kan straffes med bøde efter § 65 BSIG. Maksimum er 10 millioner euro for særligt vigtige og 7 millioner euro for vigtige enheder. Har virksomheden en samlet global omsætning på over 500 millioner euro, beregnes maksimum i stedet ud fra omsætningen: op til 2 procent for særligt vigtige og op til 1,4 procent for vigtige enheder. Ved denne omsætningsstørrelse er dette altid det højeste beløb.

Virksomheder omfattet af NIS2 klassificeres i Tyskland efter § 28 BSIG: Den konkrete enhedstype, virksomhedsstørrelsen og særlige regler om omfattelse er afgørende. Bilag 1 og 2 angiver de omfattede aktiviteter. En branchebetegnelse alene besvarer derfor lige så lidt spørgsmålet som antallet af ansatte uden en undersøgelse af aktiviteterne.

Vurderingen af, om en virksomhed er omfattet, ser på den enkelte juridiske enhed og dens tjenester. Efter § 28 Abs. 4 BSIG skal partnervirksomheder og tilknyttede virksomheder også medregnes; bestemmelsen indeholder en undtagelse for informationsteknisk uafhængige virksomheder. Sektorspecifikke særregler efter § 28 Abs. 5 und 6 BSIG indgår i undersøgelsen. BSI anbefaler at dokumentere beslutningen og dens grundlag, også når virksomheden ikke er omfattet.

BSIG forbinder dokumentationspligten med myndighedernes tilsynsbeføjelser. § 61 BSIG vedrører særligt vigtige enheder; § 62 BSIG giver mulighed for at undersøge vigtige enheder, når der foreligger relevante indikationer. Et frivilligt certifikat kan understøtte dokumentationen, men erstatter ifølge BSI ikke dokumentationen for alle lovpligter. Det afgørende er fortsat, hvilken enhed, hvilke tjenester og hvilke foranstaltninger det enkelte bevis faktisk dækker.

ISO 27001 og IT-Grundschutz kan understøtte organiseringen af informationssikkerhed; BSI beskriver ISO-certificering som et nyttigt fundament for implementering af BSIG. Registrering, lovbestemte indberetningsveje og ledelsespligter skal fortsat behandles særskilt. For finansielle enheder under DORA skal undtagelserne efter § 28 Abs. 6 BSIG undersøges.

En foranstaltning, der er gennemført, men ikke dokumenteret, kan ikke bevises over for BSI. § 30 Abs. 1 Satz 3 BSIG gør derfor dokumentation til en selvstændig pligt. Ifølge BSI’s informationspakke om dokumentationspligt forventes det, at beslutninger for og imod foranstaltninger dokumenteres med begrundelse, at de kan udledes af risikoanalysen, og at det fremgår, hvordan ledelsen har overvåget implementeringen.

For særligt vigtige enheder kan BSI efter § 61 BSIG pålægge audit, undersøgelser eller certificeringer og anmode om dokumentation, efter § 61 Abs. 3 BSIG tidligst tre år efter ikrafttrædelsen. For vigtige enheder undersøger BSI efter § 62 BSIG, når faktiske omstændigheder tyder på en overtrædelse. Hvordan BSI konkret vil undersøge dokumentationen, er endnu ikke fastlagt. Sikkert er det, at den dokumentation, som skal fremlægges ved en undersøgelse, skal være udarbejdet på forhånd.

Implementeringen kan dokumenteres, når tre ting forbindes: lovkravet, den foranstaltning, De opfylder det med, og beviset for implementeringen, hver med ansvarlig og dato.

En certificering efter ISO/IEC 27001 er et godt grundlag for dette, men ifølge BSI er den ikke bevis for NIS2-overensstemmelse. Anvendelsesområde, risikohåndtering, indberetningspligter og ledelsens pligter kan afvige og bør undersøges særskilt.

Hvis De endnu ikke har afklaret, om Deres enhed er omfattet af § 28 BSIG, skal De begynde med den gratis vurdering. Dokumenter resultatet med en begrundelse. BSI anbefaler i sin informationspakke om dokumentationspligt også at dokumentere undersøgelsen ved et negativt resultat og kan kræve denne dokumentation efter § 33 Abs. 4 BSIG.

Hvis De er omfattet og registreret, skal De begynde med foranstaltning 1. De ti foranstaltninger udgør minimumsindholdet; risikoanalysen bestemmer, hvor indgående De gennemfører hver enkelt. Implementeringstjekket viser på få minutter, hvor langt De er med hver af de ti foranstaltninger, og hvor der stadig er mangler.