NIS2: lejár a német türelmi idő

A türelmi idő 2026. július 31-én lejár

A német NIS2-átültető törvény, a NIS2UmsuCG 2025 decembere óta hatályos, átmeneti időszak nélkül. Az érintett szervezeteknek három hónapon belül regisztrálniuk kellett a BSI-nél, Németország szövetségi kiberbiztonsági hatóságánál; ez a határidő 2026. március 6-án lejárt. Az eredmény kijózanító volt: a becslések szerint Németországban érintett 29 500 vállalat közül a határidőig csak mintegy 11 500 regisztrált.

A BSI azóta egyértelművé tette, hogy 2026. július 31-ig várja a még hiányzó regisztrációkat. Ez a türelmi idő lehetőség, nem felmentés: a regisztrációs kötelezettség március óta fennáll, és már önmagában ennek megsértése akár 500 000 eurós bírsággal sújtható.

• A törvény 2025 decembere óta hatályos, a regisztrációs határidő 2026. március 6-án lejárt
• Az érintett vállalatoknak csak nagyjából egyharmada regisztrált időben
• A BSI 2026. július 31-ig várja a lemaradókat

Kiket érint – és hogyan lehet ezt megállapítani

A NIS2 18 ágazatban különbözteti meg a különösen fontos és a fontos szervezeteket – az energetikától, a közlekedéstől és az egészségügytől a digitális infrastruktúráig és a gyártásig. Ökölszabályként az ezekben az ágazatokban működő, legalább 50 munkavállalót foglalkoztató, vagy 10 millió eurót meghaladó éves árbevétellel és mérlegfőösszeggel rendelkező vállalatok tartozhatnak a hatály alá; egyes szervezetekre mérettől függetlenül kiterjed. Nemzetközi vállalatcsoportoknál érdemes figyelembe venni, hogy egy német leányvállalat akkor is a hatály alá tartozhat, ha az anyavállalatot máshol szabályozzák.

Ne hagyatkozzon ökölszabályokra. A BSI hivatalos NIS-2 érintettségi vizsgálatot biztosít, amellyel strukturáltan meghatározhatja és dokumentálhatja a besorolását. Ez az értékelés vezetői felelősség – még a dokumentált „nem érintett” következtetést is meg kell őrizni az indoklásával együtt.

Hogyan zajlik a regisztráció

A regisztráció a BSI bejelentő portálján, a MUK portálon történik. A hitelesítéshez ELSTER szervezeti tanúsítvány szükséges – ez a német adóhatóság hitelesítő eszköze. Ha szervezete nem rendelkezik ilyennel, azonnal igényelje: a kiállítás jellemzően több napig tart, és közvetlenül a határidők előtt szűk keresztmetszetté válik.

Magához a regisztrációhoz készítse elő a törzsadatokat: a szervezetet és az ágazatot, egy elérhető kapcsolattartó elérhetőségeit, az IP-címtartományokat és azokat a tagállamokat, ahol szolgáltatásokat nyújt. Jó előkészítéssel a folyamat gyorsan lezajlik.

A regisztráció után kezdődik az igazi munka

A törvény előírja, hogy az érintett szervezetek a kockázatkezelési intézkedések szilárd csomagját tartsák fenn: a kockázatelemzéstől és az incidenskezeléstől a mentésen és a válságkezelésen át az ellátási lánc biztonságáig. Ehhez járulnak a jelentős incidensekre vonatkozó lépcsőzetes bejelentési kötelezettségek – korai bejelentés 24 órán belül, nyomon követő bejelentés 72 órán belül és zárójelentés egy hónap után –, valamint a vezetés személyes kötelezettségei: a vezetésnek jóvá kell hagynia és felügyelnie kell az intézkedéseket, és képzésben kell részesülnie.

E kötelezettségek megsértése esetén a bírságkeretek messze meghaladják a regisztrációs bírságot: a különösen fontos szervezeteknél akár 10 millió euró vagy a globális éves árbevétel 2 százaléka, a fontos szervezeteknél akár 7 millió euró vagy 1,4 százalék.

• A technika állásához igazodó kockázatkezelés, az ellátási láncot is beleértve
• Olyan bejelentési folyamatok, amelyek ténylegesen képesek a 24 órás határidőket teljesíteni
• Igazolható irányítás: a felelősség a vezetésé

A határidőtől a struktúráig

A júliusi határidő jó alkalom arra, hogy a NIS2-t ne kitöltendő űrlapként, hanem strukturális feladatként kezelje: a követelményeket, az intézkedéseket, a felelősöket és a bizonyítékokat tartósan össze kell kapcsolni – nem szétszórt táblázatokban, amelyeket minden audit előtt újrarendeznek.

Pontosan ezért építjük a Secanit: egy olyan munkateret, ahol a NIS2-hez vagy az IT-Grundschutz++-hoz hasonló keretrendszerek követelményei strukturált formában állnak rendelkezésre, a megvalósítás és a bizonyítékok pedig nyomon követhetően dokumentálhatók. Ha a türelmi időt többre szeretné használni, mint pusztán a regisztrációra, beszéljen velünk.