NIS2: njemačko naknadno razdoblje uskoro završava

Naknadno razdoblje završava 31. srpnja 2026.

Njemački zakon o provedbi NIS2, NIS2UmsuCG, na snazi je od prosinca 2025., bez prijelaznog razdoblja. Obuhvaćeni subjekti morali su se u roku od tri mjeseca registrirati kod BSI-ja, njemačkog saveznog tijela za kibernetičku sigurnost; taj je rok istekao 6. ožujka 2026. Rezultat je bio otrežnjujući: od procijenjenih 29.500 obuhvaćenih tvrtki u Njemačkoj do isteka roka registriralo se samo njih oko 11.500.

BSI je u međuvremenu jasno dao do znanja da preostale registracije očekuje do 31. srpnja 2026. To naknadno razdoblje prilika je, a ne propusnica: obveza registracije postoji od ožujka, a samo njezino kršenje može se kazniti novčanom kaznom do 500.000 eura.

• Zakon na snazi od prosinca 2025., rok za registraciju istekao 6. ožujka 2026.
• Samo se otprilike trećina obuhvaćenih tvrtki pravodobno registrirala
• BSI očekuje zakašnjele registracije do 31. srpnja 2026.

Na koga se odnosi i kako to utvrditi

NIS2 razlikuje osobito važne i važne subjekte u 18 sektora, od energetike, prometa i zdravstva do digitalne infrastrukture i proizvodnje. Kao okvirno pravilo, tvrtke u tim sektorima s 50 ili više zaposlenika ili s više od 10 milijuna eura godišnjeg prometa i ukupne bilance mogu biti obuhvaćene; neki su subjekti obuhvaćeni neovisno o veličini. Za međunarodne grupe valja imati na umu da njemačko društvo kći može biti obuhvaćeno čak i ako je matično društvo regulirano negdje drugdje.

Nemojte se oslanjati na okvirna pravila. BSI pruža službenu provjeru obuhvaćenosti NIS-2 (NIS-2-Betroffenheitsprüfung) kojom možete strukturirano utvrditi i dokumentirati svoju klasifikaciju. Ta je procjena odgovornost uprave; čak i dokumentirani zaključak „nije obuhvaćeno“ treba sačuvati zajedno s obrazloženjem.

Kako funkcionira registracija

Registracija se provodi putem BSI-jeva portala za izvješćivanje, portala MUK. Za autentifikaciju je potreban organizacijski certifikat ELSTER, vjerodajnica njemačke porezne uprave. Ako ga vaša organizacija nema, odmah podnesite zahtjev: izdavanje obično traje nekoliko dana i postaje usko grlo neposredno prije rokova.

Za samu registraciju pripremite osnovne podatke: subjekt i sektor, kontaktne podatke dostupne kontaktne osobe, raspone IP adresa i države članice u kojima se pružaju usluge. Uz dobru pripremu postupak se brzo završava.

Nakon registracije počinje pravi posao

Zakon od obuhvaćenih subjekata zahtijeva održavanje čvrstog paketa mjera upravljanja rizicima: od analize rizika i postupanja s incidentima do sigurnosnog kopiranja, kriznog upravljanja i sigurnosti lanca opskrbe. Tome se pridružuju postupne obveze izvješćivanja o značajnim incidentima (početna prijava u roku od 24 sata, dopuna u roku od 72 sata i završno izvješće nakon mjesec dana) te osobne obveze uprave, koja mora odobriti mjere i nadzirati ih te proći osposobljavanje.

Za kršenje tih obveza raspon novčanih kazni znatno nadilazi kaznu za neregistraciju: do 10 milijuna eura ili 2 posto ukupnog godišnjeg prometa na svjetskoj razini za osobito važne subjekte te do 7 milijuna eura ili 1,4 posto za važne subjekte.

• Upravljanje rizicima usklađeno s najnovijim dostignućima, uključujući lanac opskrbe
• Postupci izvješćivanja koji stvarno mogu ispuniti rokove od 24 sata
• Dokazivo upravljanje: odgovornost je na upravi

Od roka do strukture

Srpanjski rok dobra je prilika da se NIS2 ne tretira kao obrazac koji treba ispuniti, nego kao strukturna zadaća: zahtjevi, mjere, vlasnici i dokazi trebaju biti trajno povezani, a ne u raspršenim proračunskim tablicama koje se prerazvrstavaju prije svake revizije.

Upravo za to gradimo Secani: radni prostor u kojem su zahtjevi iz okvira poput NIS2 ili IT-Grundschutz++ dostupni u strukturiranom obliku, a implementacija i dokazi dokumentirani na sljediv način. Ako naknadno razdoblje želite iskoristiti za više od same registracije, razgovarajte s nama.