Provedba NIS2.

Njemački Zakon o provedbi NIS2 i jačanju kibernetičke sigurnosti (NIS2UmsuCG) prenosi Direktivu (EU) 2022/2555 u njemačko pravo. Stupio je na snagu 06.12.2025., bez prijelaznog razdoblja za mjere upravljanja rizicima. Obveze su sadržane u izmijenjenom Zakonu o BSI-ju. § 28 BSIG određuje posebno važne i važne subjekte prema sektoru, veličini poduzeća i pojedinim iznimnim slučajevima.

Temeljna obveza nalazi se u § 30 Abs. 1 BSIG: primjerene, razmjerne i učinkovite tehničke i organizacijske mjere kojima se izbjegavaju poremećaji dostupnosti, cjelovitosti i povjerljivosti sustava koji se koriste za usluge te ograničavaju posljedice sigurnosnih incidenata. § 30 Abs. 2 BSIG navodi deset obveznih minimalnih mjera. Za pružatelje digitalnih usluga poput usluga u oblaku, podatkovnih centara i upravljanih usluga prednost imaju tehnički zahtjevi Provedbene uredbe (EU) 2024/2690. Operatori kritičnih postrojenja imaju dodatne obveze prema § 31 i § 39 BSIG.

Prema § 38 Abs. 1 BSIG uprava mora provoditi mjere i nadzirati njihovu provedbu. Ako prekrši tu obvezu, prema § 38 Abs. 2 BSIG odgovara vlastitom subjektu za štetu prouzročenu svojom krivnjom, prema pravilima mjerodavnog prava društava (unutarnja odgovornost). § 38 Abs. 3 BSIG također zahtijeva redovito sudjelovanje članova uprave u osposobljavanju. Uz to vrijede obveza registracije prema § 33 BSIG i obveze prijavljivanja prema § 32 BSIG.

Povrede § 30 i § 32 BSIG, uključujući nedostatnu dokumentaciju prema § 30 Abs. 1 Satz 3 BSIG, kažnjavaju se novčanim kaznama prema § 65 BSIG. Najviši iznos iznosi 10 milijuna eura za posebno važne i 7 milijuna eura za važne subjekte. Ako ukupni svjetski prihod poduzeća premašuje 500 milijuna eura, umjesto toga primjenjuje se prihod: do 2 posto za posebno važne i do 1,4 posto za važne subjekte. Iznad tog praga prihoda taj je iznos uvijek viši.

U Njemačkoj se poduzeća obuhvaćena NIS2-om razvrstavaju prema § 28 BSIG: odlučujuća je konkretna vrsta subjekta, veličina poduzeća i posebna pravila uključivanja. Prilozi 1 i 2 navode obuhvaćene djelatnosti. Sam naziv sektora stoga ne daje odgovor, kao ni broj zaposlenih bez provjere djelatnosti.

Provjera obuhvaćenosti razmatra pojedinu pravnu osobu i njezine usluge. Prema § 28 Abs. 4 BSIG treba uzeti u obzir i partnerska i povezana poduzeća; odredba sadrži iznimku za poduzeća neovisna u pogledu informacijske tehnologije. Provjera uključuje i posebna sektorska pravila prema § 28 Abs. 5 i 6 BSIG. BSI preporučuje zabilježiti odluku i njezine osnove čak i kada subjekt nije obuhvaćen.

BSIG povezuje obvezu dokumentiranja s nadzornim ovlastima tijela. § 61 BSIG odnosi se na posebno važne subjekte; § 62 BSIG dopušta provjeru važnih subjekata kada postoje odgovarajuće naznake. Dobrovoljni certifikat može poduprijeti dokumentaciju, ali prema tumačenju BSI-ja ne zamjenjuje dokazivanje svih zakonskih obveza. Presudno je koje subjekte, usluge i mjere konkretni dokaz zaista obuhvaća.

ISO 27001 i IT-Grundschutz mogu poduprijeti organizaciju informacijske sigurnosti; BSI opisuje ISO certifikaciju kao koristan temelj za provedbu BSIG-a. Registraciju, zakonske kanale prijavljivanja i obveze uprave treba razmotriti zasebno. Za financijske subjekte obuhvaćene DORA-om treba provjeriti iznimke prema § 28 Abs. 6 BSIG.

Mjera koja je provedena, ali nije dokumentirana, ne može se dokazati BSI-ju. § 30 Abs. 1 Satz 3 BSIG zato dokumentiranje određuje kao zasebnu obvezu. Prema informativnom paketu o obvezi dokumentiranja, BSI očekuje obrazložene zapise odluka za i protiv mjera, njihovu sljedivost do analize rizika i vidljiv način na koji je uprava nadzirala provedbu.

Za posebno važne subjekte BSI može prema § 61 BSIG naložiti revizije, provjere ili certifikacije i zatražiti dokaze, prema § 61 Abs. 3 BSIG najranije tri godine nakon stupanja na snagu. Važne subjekte provjerava prema § 62 BSIG kada činjenice upućuju na povredu. Još nije utvrđeno kako će BSI detaljno provjeravati dokaze. Sigurno je da ono što se treba predočiti u slučaju provjere mora nastati unaprijed.

Provedba postaje dokaziva povezivanjem triju elemenata: zakonskog zahtjeva, mjere kojom ga ispunjavate i dokaza o provedbi, uz odgovorne osobe i datume za svaki element.

Certifikacija prema ISO/IEC 27001 dobar je temelj, ali prema stajalištu BSI-ja nije dokaz sukladnosti s NIS2. Područje primjene, obrada rizika, obveze prijavljivanja i obveze uprave mogu se razlikovati i treba ih provjeriti zasebno.

Ako još niste razjasnili je li vaš subjekt obuhvaćen § 28 BSIG, započnite besplatnom provjerom obuhvaćenosti. Zabilježite rezultat s obrazloženjem. U svojem informativnom paketu o obvezi dokumentiranja BSI preporučuje dokumentirati provjeru i kada je rezultat negativan te može zatražiti tu dokumentaciju prema § 33 Abs. 4 BSIG.

Ako ste obuhvaćeni i registrirani, počnite s mjerom 1. Deset mjera predstavlja minimalni sadržaj; analiza rizika određuje dubinu provedbe svake od njih. Provjera provedbe u nekoliko minuta pokazuje vaš napredak za svaku od deset mjera i preostale nedostatke.