Εφαρμογή της NIS2.

Ο γερμανικός νόμος για την εφαρμογή της NIS2 και την ενίσχυση της κυβερνοασφάλειας (NIS2UmsuCG) μεταφέρει την οδηγία (ΕΕ) 2022/2555 στο γερμανικό δίκαιο. Τέθηκε σε ισχύ στις 06.12.2025, χωρίς μεταβατική περίοδο για τα μέτρα διαχείρισης κινδύνων. Οι υποχρεώσεις περιλαμβάνονται στον αναδιατυπωμένο νόμο BSI. Το § 28 BSIG ορίζει ποιες οντότητες θεωρούνται ιδιαίτερα σημαντικές ή σημαντικές, βάσει κλάδου, μεγέθους επιχείρησης και ορισμένων ειδικών περιπτώσεων.

Η βασική υποχρέωση ορίζεται στο § 30 Abs. 1 BSIG: κατάλληλα, αναλογικά και αποτελεσματικά τεχνικά και οργανωτικά μέτρα που αποτρέπουν διαταραχές στη διαθεσιμότητα, την ακεραιότητα και την εμπιστευτικότητα των συστημάτων που χρησιμοποιούνται για τις υπηρεσίες και περιορίζουν τις επιπτώσεις περιστατικών ασφάλειας. Το § 30 Abs. 2 BSIG απαριθμεί δέκα μέτρα που αποτελούν το ελάχιστο απαιτούμενο περιεχόμενο. Για παρόχους ψηφιακών υπηρεσιών, όπως υπηρεσίες νέφους, κέντρων δεδομένων και διαχειριζόμενες υπηρεσίες, υπερισχύουν οι τεχνικές απαιτήσεις του εκτελεστικού κανονισμού (ΕΕ) 2024/2690. Οι φορείς λειτουργίας κρίσιμων εγκαταστάσεων έχουν πρόσθετες υποχρεώσεις βάσει των § 31 και § 39 BSIG.

Η διοίκηση υποχρεούται βάσει του § 38 Abs. 1 BSIG να εφαρμόζει τα μέτρα και να επιβλέπει την εφαρμογή τους. Αν παραβεί αυτή την υποχρέωση, ευθύνεται βάσει του § 38 Abs. 2 BSIG έναντι της ίδιας της οντότητας για ζημίες που προκάλεσε υπαίτια, σύμφωνα με τους κανόνες του εκάστοτε εταιρικού δικαίου (εσωτερική ευθύνη). Το § 38 Abs. 3 BSIG απαιτεί επίσης την τακτική συμμετοχή των μελών της σε εκπαιδεύσεις. Ισχύουν παράλληλα η υποχρέωση εγγραφής του § 33 BSIG και οι υποχρεώσεις αναφοράς του § 32 BSIG.

Οι παραβάσεις των § 30 και § 32 BSIG, συμπεριλαμβανομένης της έλλειψης τεκμηρίωσης βάσει του § 30 Abs. 1 Satz 3 BSIG, επισύρουν πρόστιμα βάσει του § 65 BSIG. Το ανώτατο όριο είναι 10 εκατομμύρια ευρώ για ιδιαίτερα σημαντικές και 7 εκατομμύρια ευρώ για σημαντικές οντότητες. Αν ο συνολικός παγκόσμιος κύκλος εργασιών της επιχείρησης υπερβαίνει τα 500 εκατομμύρια ευρώ, το όριο καθορίζεται αντίστοιχα βάσει του κύκλου εργασιών: έως 2 τοις εκατό για ιδιαίτερα σημαντικές και έως 1,4 τοις εκατό για σημαντικές οντότητες. Πάνω από αυτό το ύψος κύκλου εργασιών, το ποσό αυτό είναι πάντοτε το μεγαλύτερο.

Οι επιχειρήσεις που υπάγονται στη NIS2 ταξινομούνται στη Γερμανία βάσει του § 28 BSIG: καθοριστικά είναι ο συγκεκριμένος τύπος οντότητας, το μέγεθος της επιχείρησης και οι ειδικοί κανόνες υπαγωγής. Τα παραρτήματα 1 και 2 απαριθμούν τις δραστηριότητες που καλύπτονται. Συνεπώς, ούτε η ονομασία του κλάδου ούτε ο αριθμός εργαζομένων χωρίς εξέταση της δραστηριότητας αρκούν από μόνα τους για να απαντήσουν στο ερώτημα.

Η εξέταση υπαγωγής αφορά την επιμέρους νομική οντότητα και τις υπηρεσίες της. Βάσει του § 28 Abs. 4 BSIG πρέπει να λαμβάνονται υπόψη και συνεργαζόμενες και συνδεδεμένες επιχειρήσεις· η διάταξη περιλαμβάνει εξαίρεση για επιχειρήσεις με ανεξάρτητα πληροφοριακά συστήματα. Στην εξέταση περιλαμβάνονται οι ειδικοί τομεακοί κανόνες του § 28 Abs. 5 και 6 BSIG. Το BSI συνιστά να καταγράφεται η απόφαση μαζί με τη βάση της, ακόμη και όταν δεν υφίσταται υπαγωγή.

Το BSIG συνδέει την υποχρέωση τεκμηρίωσης με εξουσίες εποπτείας των αρχών. Το § 61 BSIG αφορά ιδιαίτερα σημαντικές οντότητες· το § 62 BSIG επιτρέπει τον έλεγχο σημαντικών οντοτήτων όταν υπάρχουν σχετικές ενδείξεις. Ένα εθελοντικό πιστοποιητικό μπορεί να στηρίζει την τεκμηρίωση, αλλά σύμφωνα με τη θέση του BSI δεν αντικαθιστά την απόδειξη εκπλήρωσης όλων των νόμιμων υποχρεώσεων. Καθοριστικό παραμένει ποιες οντότητες, υπηρεσίες και μέτρα καλύπτει πράγματι κάθε αποδεικτικό στοιχείο.

Τα ISO 27001 και IT-Grundschutz μπορούν να υποστηρίξουν την οργάνωση της ασφάλειας πληροφοριών· το BSI περιγράφει την πιστοποίηση ISO ως χρήσιμο θεμέλιο για την εφαρμογή του BSIG. Η εγγραφή, οι νόμιμοι δίαυλοι αναφοράς και οι υποχρεώσεις διοίκησης χρειάζονται ξεχωριστή εξέταση. Για χρηματοοικονομικές οντότητες που υπάγονται στον DORA πρέπει να εξετάζονται οι εξαιρέσεις του § 28 Abs. 6 BSIG.

Ένα μέτρο που έχει εφαρμοστεί αλλά δεν έχει τεκμηριωθεί δεν μπορεί να αποδειχθεί ενώπιον του BSI. Γι’ αυτό το § 30 Abs. 1 Satz 3 BSIG καθιστά την τεκμηρίωση αυτοτελή υποχρέωση. Σύμφωνα με το ενημερωτικό πακέτο του για την υποχρέωση τεκμηρίωσης, το BSI αναμένει ότι οι αποφάσεις υπέρ και κατά μέτρων καταγράφονται αιτιολογημένα, προκύπτουν από την ανάλυση κινδύνων και καθιστούν σαφές πώς η διοίκηση επέβλεψε την εφαρμογή.

Για ιδιαίτερα σημαντικές οντότητες, το BSI μπορεί βάσει του § 61 BSIG να διατάσσει επιθεωρήσεις, ελέγχους ή πιστοποιήσεις και να ζητά τεκμήρια· βάσει του § 61 Abs. 3 BSIG, το νωρίτερο τρία έτη μετά την έναρξη ισχύος. Για σημαντικές οντότητες διενεργεί έλεγχο βάσει του § 62 BSIG όταν πραγματικά στοιχεία υποδεικνύουν παράβαση. Δεν έχει ακόμη καθοριστεί πώς ακριβώς θα εξετάζει το BSI τα τεκμήρια. Είναι σαφές ότι όσα πρέπει να παρουσιαστούν σε έναν έλεγχο πρέπει να έχουν δημιουργηθεί εκ των προτέρων.

Η υλοποίηση καθίσταται αποδείξιμη όταν συνδέονται τρία στοιχεία: η απαίτηση του νόμου, το μέτρο με το οποίο την εκπληρώνετε και το τεκμήριο που αποδεικνύει την εφαρμογή, καθένα με υπευθύνους και ημερομηνία.

Η πιστοποίηση κατά ISO/IEC 27001 αποτελεί καλή βάση, αλλά σύμφωνα με το BSI δεν αποδεικνύει τη συμμόρφωση με τη NIS2. Το πεδίο εφαρμογής, η αντιμετώπιση κινδύνων, οι υποχρεώσεις αναφοράς και οι υποχρεώσεις της διοίκησης ενδέχεται να διαφέρουν και πρέπει να εξετάζονται χωριστά.

Αν δεν έχετε ακόμη διευκρινίσει αν η οντότητά σας εμπίπτει στο § 28 BSIG, ξεκινήστε με τον δωρεάν έλεγχο υπαγωγής. Καταγράψτε το αποτέλεσμα με αιτιολόγηση. Στο ενημερωτικό πακέτο για την υποχρέωση τεκμηρίωσης, το BSI συνιστά να τεκμηριώνεται η εξέταση ακόμη και όταν το αποτέλεσμα είναι αρνητικό και μπορεί να ζητήσει αυτή την τεκμηρίωση βάσει του § 33 Abs. 4 BSIG.

Αν υπάγεστε και έχετε εγγραφεί, ξεκινήστε με το μέτρο 1. Τα δέκα μέτρα είναι το ελάχιστο περιεχόμενο· η ανάλυση κινδύνων καθορίζει το βάθος εφαρμογής καθενός. Ο έλεγχος υλοποίησης δείχνει σε λίγα λεπτά την πρόοδό σας σε καθένα από τα δέκα μέτρα και τα κενά που παραμένουν.