NIS2: Saksamaa armuaeg on lõppemas

Armuaeg lõpeb 31. juulil 2026

Saksamaa NIS2 ülevõtmise seadus NIS2UmsuCG on olnud jõus alates 2025. aasta detsembrist ilma üleminekuperioodita. Asjaomased üksused pidid end kolme kuu jooksul registreerima BSI-s, Saksamaa föderaalses küberturbeasutuses; see tähtaeg möödus 6. märtsil 2026. Tulemus oli kainestav: Saksamaa hinnanguliselt 29 500 asjaomasest ettevõttest oli tähtajaks registreerinud vaid umbes 11 500.

BSI on pärast seda selgeks teinud, et ootab puuduvaid registreerimisi 31. juuliks 2026. See armuaeg on võimalus, mitte vabapääse: registreerimiskohustus on kehtinud alates märtsist ja juba ainuüksi selle rikkumise eest võib määrata kuni 500 000 euro suuruse trahvi.

• Seadus on jõus alates 2025. aasta detsembrist, registreerimise tähtaeg möödus 6. märtsil 2026
• Ainult umbes kolmandik asjaomastest ettevõtetest registreeris end õigeaegselt
• BSI ootab hilinejatelt registreerimist 31. juuliks 2026

Keda see puudutab ja kuidas seda välja selgitada

NIS2 eristab 18 sektoris eriti olulisi ja olulisi üksusi, alates energeetikast, transpordist ja tervishoiust kuni digitaristu ja töötleva tööstuseni. Rusikareeglina võivad kohaldamisalasse kuuluda nende sektorite ettevõtted, kus on 50 või rohkem töötajat või mille aastakäive ja bilansimaht ületavad 10 miljonit eurot; mõned üksused on hõlmatud olenemata suurusest. Rahvusvaheliste kontsernide puhul pidage meeles, et Saksa tütarettevõte võib kuuluda kohaldamisalasse isegi siis, kui emaettevõtet reguleeritakse mujal.

Ärge tuginege rusikareeglitele. BSI pakub ametlikku NIS-2 kohaldatavuse kontrolli, mis võimaldab teil oma liigituse struktureeritud viisil kindlaks teha ja dokumenteerida. See hindamine on juhtkonna vastutus; ka dokumenteeritud järeldus „ei puuduta“ tuleks säilitada koos põhjendusega.

Kuidas registreerimine toimub

Registreerimine toimub BSI teavitusportaali, MUK-portaali kaudu. Autentimiseks on vaja ELSTER-i organisatsioonisertifikaati, mis on Saksamaa maksuhalduri volitus. Kui teie organisatsioonil seda ei ole, taotlege see kohe: väljastamine võtab tavaliselt mitu päeva ja muutub vahetult enne tähtaegu kitsaskohaks.

Registreerimiseks hoidke põhiandmed valmis: üksus ja sektor, kättesaadava kontaktisiku andmed, IP-aadresside vahemikud ja liikmesriigid, kus teenuseid osutatakse. Hea ettevalmistuse korral on protsess kiiresti tehtud.

Pärast registreerimist algab tegelik töö

Seadus nõuab, et asjaomased üksused hoiaksid käigus põhjalikku riskijuhtimismeetmete paketti: alates riskianalüüsist ja intsidentide käsitlemisest kuni varundamise, kriisijuhtimise ja tarneahela turvalisuseni. Lisaks kehtivad etapiviisilised teavitamiskohustused märkimisväärsete intsidentide korral, mis hõlmavad esmast teadet 24 tunni jooksul, järgteadet 72 tunni jooksul ja lõpparuannet ühe kuu möödudes, ning juhtkonna isiklikud kohustused: juhtkond peab meetmed heaks kiitma, nende üle järelevalvet tegema ja läbima koolituse.

Nende kohustuste rikkumise eest ulatuvad trahvimäärad registreerimistrahvist palju kaugemale: eriti olulistele üksustele kuni 10 miljonit eurot või 2 protsenti ülemaailmsest aastakäibest ja olulistele üksustele kuni 7 miljonit eurot või 1,4 protsenti.

• Tehnika tasemele vastav riskijuhtimine, sealhulgas tarneahelas
• Teavitamisprotsessid, mis suudavad 24-tunniseid tähtaegu tegelikult täita
• Tõendatav juhtimine: vastutus lasub juhtkonnal

Tähtajast struktuurini

Juuli tähtaeg on hea võimalus käsitleda NIS2-te mitte täidetava vormina, vaid struktuurse ülesandena: nõuded, meetmed, omanikud ja tõendid peavad olema püsivalt omavahel seotud, mitte laiali arvutustabelites, mida enne iga auditit ümber sorteeritakse.

Just selleks me Secanit ehitamegi: tööruumi, kus selliste raamistike nagu NIS2 või IT-Grundschutz++ nõuded on kättesaadavad struktureeritud kujul ning rakendamine ja tõendid dokumenteeritakse jälgitavalt. Kui soovite kasutada armuaega enamaks kui ainult registreerimiseks, võtke meiega ühendust.