A NIS2 megvalósítása.

A NIS2 végrehajtásáról és a kiberbiztonság megerősítéséről szóló német törvény (NIS2UmsuCG) a német jogba ülteti át az (EU) 2022/2555 irányelvet. A törvény 2025. december 6-án lépett hatályba, a kockázatkezelési intézkedésekre vonatkozó átmeneti időszak nélkül. A kötelezettségeket a BSI-ről szóló törvény új szövege tartalmazza. A § 28 BSIG az ágazat, a vállalatméret és néhány különleges eset alapján határozza meg, mely szervezet minősül kiemelten fontosnak vagy fontosnak.

Az alapkötelezettséget a § 30 Abs. 1 BSIG tartalmazza: megfelelő, arányos és hatékony technikai és szervezési intézkedések szükségesek a szolgáltatásokhoz használt rendszerek rendelkezésre állását, sértetlenségét és bizalmasságát érintő zavarok elkerüléséhez, valamint a biztonsági incidensek hatásainak mérsékléséhez. A § 30 Abs. 2 BSIG tíz kötelező minimumintézkedést sorol fel. A digitális szolgáltatóknál, például a felhő-, adatközponti és menedzselt szolgáltatások nyújtóinál az (EU) 2024/2690 végrehajtási rendelet technikai előírásai elsőbbséget élveznek. A kritikus létesítmények üzemeltetőit a § 31 és § 39 BSIG további kötelezettségekkel terheli.

A § 38 Abs. 1 BSIG alapján az ügyvezetés köteles megvalósítani az intézkedéseket és felügyelni azok végrehajtását. E kötelezettség megsértése esetén a § 38 Abs. 2 BSIG szerint az alkalmazandó társasági jog szabályai alapján felel a saját szervezetével szemben a felróhatóan okozott károkért (belső felelősség). A § 38 Abs. 3 BSIG rendszeres képzésen való részvételt is előír a vezetés tagjai számára. Emellett a § 33 BSIG szerinti regisztrációs és a § 32 BSIG szerinti bejelentési kötelezettségek is érvényesek.

A § 30 és § 32 BSIG megsértése, beleértve a § 30 Abs. 1 Satz 3 BSIG szerinti dokumentáció hiányát, a § 65 BSIG alapján bírsággal sújtható. A felső határ kiemelten fontos szervezeteknél 10 millió euró, fontos szervezeteknél 7 millió euró. Ha a vállalat világszintű összárbevétele meghaladja az 500 millió eurót, helyette árbevételarányos határ érvényes: kiemelten fontos szervezeteknél legfeljebb 2 százalék, fontos szervezeteknél legfeljebb 1,4 százalék. Ekkora árbevételnél ez mindig a magasabb összeg.

A NIS2 által érintett vállalatokat Németországban a § 28 BSIG alapján sorolják be: a konkrét szervezettípus, a vállalatméret és a különös bevonási szabályok a meghatározók. Az 1. és 2. melléklet sorolja fel az érintett tevékenységeket. Önmagában az ágazati megnevezés ezért éppúgy nem ad választ, mint a tevékenység vizsgálata nélkül megadott foglalkoztatotti létszám.

Az érintettségi vizsgálat az egyes jogalanyokra és szolgáltatásaikra irányul. A § 28 Abs. 4 BSIG alapján a partner- és kapcsolt vállalkozásokat is figyelembe kell venni; az informatikailag független vállalatokra a rendelkezés kivételt tartalmaz. A § 28 Abs. 5 és 6 BSIG szerinti ágazati különszabályok is a vizsgálat részét képezik. A BSI azt javasolja, hogy a döntést és annak alapjait akkor is rögzítsék, ha a szervezet nem érintett.

A BSIG a dokumentálási kötelezettséget hatósági felügyeleti jogkörökkel kapcsolja össze. A § 61 BSIG a kiemelten fontos szervezetekre vonatkozik; a § 62 BSIG megfelelő körülmények esetén lehetővé teszi a fontos szervezetek vizsgálatát. Egy önkéntes tanúsítvány támogathatja a dokumentációt, de a BSI értelmezése szerint nem helyettesíti az összes jogszabályi kötelezettség teljesítésének igazolását. Továbbra is az a döntő, hogy az adott bizonyíték ténylegesen mely szervezetet, szolgáltatásokat és intézkedéseket fedi le.

Az ISO 27001 és az IT-Grundschutz támogathatja az információbiztonság megszervezését; a BSI hasznos alapként írja le az ISO-tanúsítást a BSIG megvalósításához. A regisztrációt, a jogszabályi bejelentési útvonalakat és a vezetői kötelezettségeket külön kell vizsgálni. A DORA hatálya alá tartozó pénzügyi szervezeteknél a § 28 Abs. 6 BSIG kivételeit kell ellenőrizni.

Egy megvalósított, de nem dokumentált intézkedés nem bizonyítható a BSI előtt. A § 30 Abs. 1 Satz 3 BSIG ezért önálló kötelezettséggé teszi a dokumentálást. A BSI a dokumentálási kötelezettségről szóló tájékoztatócsomagja alapján elvárja, hogy az intézkedések melletti és elleni döntéseket indokolással rögzítsék, azok a kockázatelemzésből levezethetők legyenek, és látható legyen, hogyan felügyelte az ügyvezetés a megvalósítást.

Kiemelten fontos szervezeteknél a BSI a § 61 BSIG alapján auditokat, vizsgálatokat vagy tanúsításokat rendelhet el és bizonyítékokat kérhet be, a § 61 Abs. 3 BSIG szerint legkorábban a hatálybalépés után három évvel. Fontos szervezeteknél a § 62 BSIG alapján vizsgálódik, ha tények utalnak jogsértésre. Még nem határozták meg részletesen, hogyan vizsgálja majd a BSI a bizonyítékokat. Annyi biztos: az ellenőrzéskor benyújtandó bizonyítékoknak korábban kell létrejönniük.

A megvalósítás akkor igazolható, ha három elem összekapcsolódik: a jogszabályi követelmény, az azt teljesítő intézkedés és a megvalósítást igazoló bizonyíték, mindegyik felelősökkel és dátummal.

Az ISO/IEC 27001 szerinti tanúsítás ehhez jó alapot nyújt, a BSI álláspontja szerint azonban nem igazolja a NIS2-megfelelőséget. Az alkalmazási terület, a kockázatkezelés, a bejelentési és az ügyvezetési kötelezettségek eltérhetnek, ezért külön vizsgálatot igényelnek.

Ha még nem tisztázta, hogy szervezete a § 28 BSIG hatálya alá tartozik-e, kezdje az ingyenes érintettségi vizsgálattal. Az eredményt indokolással együtt rögzítse. A BSI a dokumentálási kötelezettségről szóló tájékoztatócsomagjában azt javasolja, hogy a vizsgálatot negatív eredmény esetén is dokumentálják, és a § 33 Abs. 4 BSIG alapján bekérheti ezt a dokumentációt.

Ha érintett és már regisztrált, kezdje az 1. intézkedéssel. A tíz intézkedés a minimumkövetelményt jelenti; a kockázatelemzés határozza meg, milyen mélységben kell őket megvalósítani. A megvalósítási ellenőrzés néhány perc alatt megmutatja, hol tart a tíz intézkedés mindegyikénél, és hol vannak még hiányosságok.