NIS2: Saksan lisäaika on päättymässä

Lisäaika päättyy 31.7.2026

Saksan NIS2-täytäntöönpanolaki, NIS2UmsuCG, on ollut voimassa joulukuusta 2025 ilman siirtymäaikaa. Velvoitettujen toimijoiden oli rekisteröidyttävä Saksan liittovaltion kyberturvallisuusviranomaiselle BSI:lle kolmen kuukauden kuluessa; määräaika umpeutui 6.3.2026. Tulos oli karu: Saksan arviolta 29 500 velvoitetusta yrityksestä vain noin 11 500 oli rekisteröitynyt määräaikaan mennessä.

BSI on sittemmin tehnyt selväksi, että se odottaa puuttuvien rekisteröitymisten tapahtuvan 31.7.2026 mennessä. Lisäaika on mahdollisuus, ei vapaalippu: rekisteröitymisvelvollisuus on ollut voimassa maaliskuusta lähtien, ja pelkästään sen rikkomisesta voidaan määrätä jopa 500 000 euron sakko.

• Laki voimassa joulukuusta 2025, rekisteröitymisen määräaika umpeutui 6.3.2026
• Vain noin kolmasosa velvoitetuista yrityksistä rekisteröityi ajoissa
• BSI odottaa myöhästyneiden rekisteröityvän 31.7.2026 mennessä

Ketä asia koskee ja miten sen voi selvittää

NIS2 erottaa toisistaan erittäin tärkeät ja tärkeät toimijat 18 toimialalla energiasta, liikenteestä ja terveydenhuollosta digitaaliseen infrastruktuuriin ja valmistavaan teollisuuteen. Nyrkkisääntönä näiden toimialojen yritykset, joilla on vähintään 50 työntekijää tai yli 10 miljoonan euron vuotuinen liikevaihto ja taseen loppusumma, voivat kuulua soveltamisalaan; jotkin toimijat kuuluvat siihen koosta riippumatta. Kansainvälisten konsernien on huomattava, että saksalainen tytäryhtiö voi kuulua soveltamisalaan, vaikka emoyhtiötä säänneltäisiin muualla.

Älä luota nyrkkisääntöihin. BSI tarjoaa virallisen NIS-2-soveltuvuustarkistuksen, jonka avulla voitte määrittää ja dokumentoida luokituksenne jäsennellysti. Tämä arviointi on johdon vastuulla; myös dokumentoitu johtopäätös ”ei koske meitä” on syytä säilyttää perusteluineen.

Miten rekisteröityminen tehdään

Rekisteröityminen tehdään BSI:n ilmoitusportaalissa, MUK-portaalissa. Tunnistautuminen edellyttää ELSTER-organisaatiovarmennetta, joka on Saksan veroviranomaisen tunnistusväline. Jos organisaatiollanne ei ole sellaista, hakekaa sitä heti: myöntäminen kestää tyypillisesti useita päiviä ja muodostuu pullonkaulaksi juuri ennen määräaikoja.

Pitäkää varsinaista rekisteröitymistä varten perustiedot valmiina: toimija ja toimiala, tavoitettavissa olevan yhteyshenkilön yhteystiedot, IP-osoitealueet ja jäsenvaltiot, joissa palveluja tarjotaan. Hyvin valmisteltuna prosessi on nopeasti tehty.

Rekisteröitymisen jälkeen varsinainen työ alkaa

Laki edellyttää velvoitetuilta toimijoilta vankkaa riskienhallintatoimenpiteiden kokonaisuutta riskianalyysista ja poikkeamien käsittelystä varmuuskopiointiin, kriisinhallintaan ja toimitusketjun turvallisuuteen. Tämän lisäksi merkittävistä poikkeamista on ilmoitettava vaiheittain: ensi-ilmoitus 24 tunnin kuluessa, jatkoilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluttua. Johdolle kuuluu myös henkilökohtaisia velvollisuuksia: sen on hyväksyttävä toimenpiteet ja valvottava niitä sekä osallistuttava koulutukseen.

Näiden velvoitteiden rikkomisesta määrättävät sakot ovat paljon rekisteröitymisen laiminlyönnin seuraamusta suurempia: erittäin tärkeille toimijoille enintään 10 miljoonaa euroa tai 2 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta ja tärkeille toimijoille enintään 7 miljoonaa euroa tai 1,4 prosenttia.

• Tekniikan tasoa vastaava riskienhallinta, toimitusketju mukaan lukien
• Ilmoitusprosessit, jotka todella pystyvät noudattamaan 24 tunnin määräaikoja
• Osoitettavissa oleva hallinto: vastuu on johdolla

Määräajasta rakenteeseen

Heinäkuun määräaika on hyvä tilaisuus käsitellä NIS2:ta rakenteellisena tehtävänä eikä täytettävänä lomakkeena: vaatimukset, toimenpiteet, omistajat ja näyttö kuuluvat pysyvästi kytketyiksi toisiinsa, ei hajallaan oleviin taulukoihin, jotka järjestellään uudelleen ennen jokaista auditointia.

Juuri tätä varten rakennamme Secania: työtilaa, jossa NIS2:n tai IT-Grundschutz++:n kaltaisten viitekehysten vaatimukset ovat saatavilla jäsennellyssä muodossa ja toteutus ja näyttö dokumentoidaan jäljitettävästi. Jos haluatte käyttää lisäajan muuhunkin kuin pelkkään rekisteröitymiseen, ottakaa yhteyttä.