NIS2 rakendamine.

NIS2 rakendamise ja küberturvalisuse tugevdamise seadus (NIS2UmsuCG) võtab direktiivi (EL) 2022/2555 üle Saksamaa õigusesse. See jõustus 06.12.2025 ilma riskijuhtimismeetmete üleminekuajata. Kohustused sisalduvad uuesti sõnastatud BSI seaduses. BSIG § 28 määrab sektori, ettevõtte suuruse ja mõne erijuhu alusel, keda loetakse eriti oluliseks või oluliseks üksuseks.

Põhikohustus on sätestatud BSIG § 30 lõikes 1: sobivad, proportsionaalsed ja tõhusad tehnilised ning korralduslikud meetmed, mis väldivad teenuste osutamiseks kasutatavate süsteemide käideldavuse, tervikluse ja konfidentsiaalsuse häireid ning vähendavad turvaintsidentide mõju. BSIG § 30 lõige 2 nimetab kümmet meedet, mis peavad vähemalt sisalduma. Digiteenuste, näiteks pilv-, andmekeskuse- ja hallatud teenuste osutajate puhul on ülimuslikud rakendusmääruse (EL) 2024/2690 tehnilised nõuded. Kriitiliste rajatiste käitajatel on BSIG §-de 31 ja 39 alusel lisakohustused.

BSIG § 38 lõige 1 kohustab juhtkonda meetmeid rakendama ja nende rakendamist jälgima. Selle kohustuse rikkumisel vastutab juhtkond BSIG § 38 lõike 2 alusel oma üksuse ees süüliselt tekitatud kahju eest vastava ühinguõiguse reeglite järgi (sisevastutus). Lisaks nõuab BSIG § 38 lõige 3, et juhtkonna liikmed osaleksid regulaarselt koolitustel. Samuti kehtivad registreerimiskohustus BSIG § 33 alusel ja teavitamiskohustused BSIG § 32 alusel.

BSIG §-de 30 ja 32 rikkumise, sealhulgas BSIG § 30 lõike 1 lauses 3 nõutud dokumentatsiooni puudumise eest saab BSIG § 65 alusel määrata rahatrahvi. Ülempiir on eriti olulistel üksustel 10 miljonit eurot ja olulistel üksustel 7 miljonit eurot. Kui ettevõtte ülemaailmne kogukäive ületab 500 miljonit eurot, lähtutakse selle asemel käibest: eriti olulistel üksustel kuni 2 protsenti ja olulistel üksustel kuni 1,4 protsenti. Sellise käibe juures on see alati suurem summa.

NIS2ga hõlmatud ettevõtteid liigitatakse Saksamaal BSIG § 28 alusel: määravad on konkreetne üksuse liik, ettevõtte suurus ja hõlmamise erireeglid. Lisad 1 ja 2 loetlevad hõlmatud tegevused. Seetõttu ei vasta küsimusele üksnes tegevusala nimetus ega töötajate arv ilma tegevust kontrollimata.

Kohaldumise hindamisel vaadeldakse konkreetset juriidilist isikut ja tema teenuseid. BSIG § 28 lõike 4 järgi tuleb arvestada ka partner- ja seotud ettevõtteid; infotehnoloogiliselt sõltumatute ettevõtete jaoks sisaldab säte erandit. Hindamisel tuleb arvestada BSIG § 28 lõigete 5 ja 6 valdkondlikke erireegleid. BSI soovitab otsuse ja selle alused talletada ka juhul, kui nõuded ei kohaldu.

BSIG ühendab dokumenteerimiskohustuse ametlike järelevalvevolitustega. BSIG § 61 puudutab eriti olulisi üksusi; § 62 võimaldab vastavate tunnuste esinemisel kontrollida olulisi üksusi. Vabatahtlik sertifikaat võib dokumentatsiooni toetada, kuid BSI hinnangul ei asenda see kõigi seadusest tulenevate kohustuste täitmise tõendamist. Määravaks jääb, millist üksust, teenuseid ja meetmeid iga tõend tegelikult hõlmab.

ISO 27001 ja IT-Grundschutz võivad infoturbe korraldamist toetada; BSI kirjeldab ISO sertifitseerimist kasuliku alusena BSIG rakendamisel. Registreerimist, seadusest tulenevaid teavituskanaleid ja juhtkonna kohustusi tuleb käsitleda eraldi. DORA alla kuuluvatel finantssektori ettevõtjatel tuleb kontrollida BSIG § 28 lõike 6 erandeid.

Rakendatud, kuid dokumenteerimata meedet ei saa BSI-le tõendada. Seetõttu sätestab BSIG § 30 lõike 1 lause 3 dokumenteerimise eraldi kohustusena. Oma dokumenteerimiskohustuse teabepaketi järgi ootab BSI, et meetmete poolt ja vastu tehtud otsused oleksid põhjendatult talletatud, tuleneksid riskianalüüsist ning näitaksid, kuidas juhtkond on rakendamist jälginud.

Eriti oluliste üksuste puhul võib BSI BSIG § 61 järgi määrata auditeid, kontrolle või sertifitseerimist ning nõuda tõendeid; BSIG § 61 lõike 3 järgi kõige varem kolm aastat pärast jõustumist. Olulisi üksusi kontrollib ta BSIG § 62 järgi, kui asjaolud viitavad rikkumisele. Kuidas BSI tõendeid üksikasjalikult kontrollima hakkab, ei ole veel kindlaks määratud. Kindel on see: kontrollimisel esitatavad materjalid peavad olema loodud varem.

Rakendamine muutub tõendatavaks, kui ühendatakse kolm asja: seadusest tulenev nõue, meede, millega seda täidetakse, ja rakendamist tõendav materjal, igaüks koos vastutaja ning kuupäevaga.

ISO/IEC 27001 sertifitseerimine on selleks hea alus, kuid BSI hinnangul ei tõenda see vastavust NIS2-le. Käsitlusala, riskikäsitlus, teavitamiskohustused ja juhtkonna kohustused võivad erineda ning neid tuleks kontrollida eraldi.

Kui te pole veel selgitanud, kas teie üksus kuulub BSIG § 28 alla, alustage tasuta kohaldumiskontrollist. Talletage tulemus koos põhjendusega. BSI soovitab dokumenteerimiskohustuse teabepaketis hindamise dokumenteerida ka negatiivse tulemuse korral ning võib selle dokumentatsiooni BSIG § 33 lõike 4 alusel välja nõuda.

Kui nõuded kohalduvad teile ja olete registreeritud, alustage meetmest 1. Kümme meedet moodustavad miinimumsisu; riskianalüüs määrab, kui põhjalikult iga meedet rakendada. Rakenduskontroll näitab mõne minutiga, kui kaugele olete iga kümne meetmega jõudnud ja kus on veel lünki.