NIS2:n toteutus.

Saksan NIS2-täytäntöönpano- ja kyberturvallisuuden vahvistamislaki (NIS2UmsuCG) saattaa direktiivin (EU) 2022/2555 osaksi Saksan lainsäädäntöä. Laki tuli voimaan 6.12.2025 ilman riskienhallintatoimenpiteiden siirtymäaikaa. Velvoitteet sisältyvät uudistettuun BSI-lakiin (BSIG). BSIG-lain 28 § määrittää erityisen tärkeät ja tärkeät toimijat toimialan, yrityskoon ja eräiden erityistapausten perusteella.

Keskeinen velvoite on BSIG-lain 30 §:n 1 momentissa: asianmukaiset, oikeasuhteiset ja tehokkaat tekniset ja organisatoriset toimenpiteet, joilla ehkäistään palveluissa käytettävien järjestelmien saatavuuden, eheyden ja luottamuksellisuuden häiriöitä sekä rajoitetaan poikkeamien vaikutuksia. BSIG-lain 30 §:n 2 momentissa nimetään kymmenen vähimmäistoimenpidettä. Digitaalisten palvelujen, kuten pilvi-, konesali- ja hallintapalvelujen, tarjoajiin sovelletaan ensisijaisesti täytäntöönpanoasetuksen (EU) 2024/2690 teknisiä vaatimuksia. Kriittisten laitosten ylläpitäjillä on lisävelvoitteita BSIG-lain 31 ja 39 §:n nojalla.

Johto on BSIG-lain 38 §:n 1 momentin mukaan velvollinen toteuttamaan toimenpiteet ja valvomaan niiden toteuttamista. Velvollisuuden rikkomisesta seuraa 38 §:n 2 momentin mukainen vastuu omalle toimijalle tuottamuksellisesti aiheutetuista vahingoista sovellettavan yhteisöoikeuden sääntöjen mukaisesti (sisäinen vastuu). BSIG-lain 38 §:n 3 momentti edellyttää lisäksi johdon jäsenten säännöllistä kouluttautumista. Myös 33 §:n rekisteröintivelvollisuus ja 32 §:n ilmoitusvelvollisuudet ovat voimassa.

BSIG-lain 30 ja 32 §:n rikkomisesta, myös 30 §:n 1 momentin 3 virkkeen mukaisen dokumentoinnin puuttumisesta, voidaan määrätä hallinnollinen sakko 65 §:n nojalla. Enimmäismäärä on erityisen tärkeille toimijoille 10 miljoonaa euroa ja tärkeille toimijoille 7 miljoonaa euroa. Jos yrityksen maailmanlaajuinen kokonaisliikevaihto ylittää 500 miljoonaa euroa, enimmäismäärä perustuu sen sijaan liikevaihtoon: erityisen tärkeillä toimijoilla enintään 2 prosenttia ja tärkeillä toimijoilla enintään 1,4 prosenttia. Tästä liikevaihdosta lähtien prosenttiperusteinen määrä on aina suurempi.

NIS2:n soveltamisalaan kuuluvat yritykset luokitellaan Saksassa BSIG-lain 28 §:n perusteella. Ratkaisevia ovat toimijan tarkka tyyppi, yrityksen koko ja erityiset soveltamissäännöt. Liitteissä 1 ja 2 luetellaan soveltamisalaan kuuluvat toiminnot. Pelkkä toimialan nimi ei siis ratkaise asiaa, eikä myöskään henkilöstömäärä ilman toiminnan tarkastelua.

Soveltumisen arvioinnissa tarkastellaan yksittäistä oikeushenkilöä ja sen palveluja. BSIG-lain 28 §:n 4 momentin mukaan myös omistusyhteys- ja sidosyritykset on otettava huomioon. Säännöksessä on poikkeus tietoteknisesti riippumattomille yrityksille. Myös 28 §:n 5 ja 6 momentin alakohtaiset erityissäännöt on arvioitava. BSI suosittelee päätöksen ja sen perusteiden kirjaamista myös silloin, kun toimija jää soveltamisalan ulkopuolelle.

BSIG-laki yhdistää dokumentointivelvollisuuden viranomaisten valvontavaltuuksiin. Lain 61 § koskee erityisen tärkeitä toimijoita, ja 62 § mahdollistaa tärkeiden toimijoiden tarkastamisen, kun siihen on viitteisiin perustuva syy. Vapaaehtoinen sertifikaatti voi tukea dokumentointia, mutta BSI:n tulkinnan mukaan se ei korvaa kaikkien lakisääteisten velvollisuuksien täyttämisen osoittamista. Ratkaisevaa on, mitä toimijaa, palveluja ja toimenpiteitä kukin todiste todella kattaa.

ISO 27001 ja IT-Grundschutz voivat tukea tietoturvan organisointia. BSI kuvaa ISO-sertifiointia hyödylliseksi perustaksi BSIG-lain toteuttamiselle. Rekisteröinti, lakisääteiset ilmoituskanavat ja johdon velvollisuudet on silti tarkasteltava erikseen. DORA-asetuksen piiriin kuuluvien finanssiyhteisöjen osalta on arvioitava BSIG-lain 28 §:n 6 momentin poikkeukset.

Toteutettua mutta dokumentoimatonta toimenpidettä ei voida osoittaa BSI:lle. Siksi BSIG-lain 30 §:n 1 momentin 3 virke asettaa dokumentoinnin erilliseksi velvollisuudeksi. BSI odottaa dokumentointivelvollisuutta koskevan tietopakettinsa mukaan, että päätökset toimenpiteiden puolesta ja niitä vastaan kirjataan perusteluineen, ne voidaan johtaa riskianalyysistä ja johdon toteutuksen valvonta käy ilmi.

BSI voi BSIG-lain 61 §:n perusteella määrätä erityisen tärkeille toimijoille auditointeja, tarkastuksia tai sertifiointeja ja pyytää näyttöä, 61 §:n 3 momentin mukaan aikaisintaan kolmen vuoden kuluttua lain voimaantulosta. Tärkeitä toimijoita se tarkastaa 62 §:n nojalla, jos tosiseikat viittaavat rikkomiseen. Sitä, miten BSI arvioi näytön yksityiskohtaisesti, ei vielä ole vahvistettu. Varmaa on, että tarkastuksessa esitettävän aineiston on oltava laadittu etukäteen.

Toteutus voidaan osoittaa, kun kolme asiaa yhdistetään: lain vaatimus, sen täyttävä toimenpide ja toteutuksen osoittava todiste, jokainen vastuuhenkilöineen ja päivämäärineen.

ISO/IEC 27001 -sertifiointi tarjoaa tähän hyvän perustan, mutta BSI:n mukaan se ei osoita NIS2-vaatimustenmukaisuutta. Soveltamisala, riskien käsittely, ilmoitusvelvollisuudet ja johdon velvollisuudet voivat poiketa, joten ne on syytä arvioida erikseen.

Jos ette ole vielä selvittäneet, kuuluuko toimijanne BSIG-lain 28 §:n piiriin, aloittakaa maksuttomalla soveltuvuustarkistuksella. Kirjatkaa tulos perusteluineen. BSI suosittelee dokumentointivelvollisuutta koskevassa tietopaketissaan arvioinnin dokumentointia myös kielteisen tuloksen yhteydessä ja voi pyytää dokumentaation BSIG-lain 33 §:n 4 momentin nojalla.

Jos kuulutte soveltamisalaan ja olette rekisteröityneet, aloittakaa toimenpiteestä 1. Kymmenen toimenpidettä muodostavat vähimmäissisällön. Riskianalyysi määrittää, kuinka perusteellisesti kukin toteutetaan. Toteutustarkistus näyttää muutamassa minuutissa, missä vaiheessa olette kunkin kymmenen toimenpiteen osalta ja missä on vielä puutteita.