NIS2: Vokietijos lengvatinis laikotarpis baigiasi

Lengvatinis laikotarpis baigiasi 2026 m. liepos 31 d.

Vokietijos NIS2 įgyvendinimo įstatymas, NIS2UmsuCG, galioja nuo 2025 m. gruodžio be jokio pereinamojo laikotarpio. Susiję subjektai per tris mėnesius turėjo užsiregistruoti BSI, Vokietijos federalinėje kibernetinio saugumo institucijoje; šis terminas baigėsi 2026 m. kovo 6 d. Rezultatas buvo blaivinantis: iš maždaug 29 500 susijusių įmonių Vokietijoje iki termino užsiregistravo tik apie 11 500.

Nuo tada BSI aiškiai nurodė, kad neatliktų registracijų laukia iki 2026 m. liepos 31 d. Šis lengvatinis laikotarpis yra galimybė, o ne leidimas nieko nedaryti: registracijos pareiga galioja nuo kovo, ir vien už jos pažeidimą gali būti skirta iki 500 000 eurų bauda.

• Įstatymas galioja nuo 2025 m. gruodžio, registracijos terminas baigėsi 2026 m. kovo 6 d.
• Laiku užsiregistravo tik maždaug trečdalis susijusių įmonių
• BSI laukia vėluojančiųjų iki 2026 m. liepos 31 d.

Kam tai taikoma ir kaip tai išsiaiškinti

NIS2 skiria ypač svarbius ir svarbius subjektus 18 sektorių: nuo energetikos, transporto ir sveikatos iki skaitmeninės infrastruktūros ir gamybos. Paprastai šių sektorių įmonės, turinčios 50 ar daugiau darbuotojų arba kurių metinė apyvarta ir balanso suma viršija 10 milijonų eurų, gali patekti į taikymo sritį; kai kuriems subjektams direktyva taikoma nepriklausomai nuo dydžio. Tarptautinėms grupėms svarbu žinoti, kad Vokietijos dukterinei įmonei taikymas gali būti aktualus net tada, kai patronuojančiąją įmonę reguliuoja kita valstybė.

Nepasikliaukite apytikslėmis taisyklėmis. BSI siūlo oficialią NIS-2 taikymo patikrą, leidžiančią struktūriškai nustatyti ir dokumentuoti jūsų klasifikaciją. Šis vertinimas yra vadovybės atsakomybė: net dokumentuota išvada „netaikoma“ turėtų būti saugoma kartu su jos pagrindimu.

Kaip vyksta registracija

Registruojamasi per BSI pranešimų portalą, MUK portalą. Autentifikacijai reikia ELSTER organizacijos sertifikato, t. y. Vokietijos mokesčių administratoriaus išduodamo prisijungimo duomens. Jei jūsų organizacija jo neturi, kreipkitės nedelsdami: išdavimas paprastai trunka kelias dienas ir prieš terminus tampa kliūtimi.

Pačiai registracijai pasirenkite pagrindinius duomenis: subjektą ir sektorių, pasiekiamo kontaktinio asmens duomenis, IP adresų intervalus ir valstybes nares, kuriose teikiamos paslaugos. Gerai pasiruošus, procesas atliekamas greitai.

Po registracijos prasideda tikrasis darbas

Įstatymas reikalauja, kad susiję subjektai palaikytų tvirtą rizikos valdymo priemonių paketą: nuo rizikos analizės ir incidentų valdymo iki atsarginių kopijų, krizių valdymo ir tiekimo grandinės saugumo. Prie to prisideda pakopiniai pranešimo apie reikšmingus incidentus įpareigojimai (pirminis pranešimas per 24 valandas, tolesnis pranešimas per 72 valandas ir galutinė ataskaita po vieno mėnesio), taip pat asmeninės vadovybės pareigos: ji turi patvirtinti priemones, prižiūrėti jų įgyvendinimą ir dalyvauti mokymuose.

Už šių įpareigojimų pažeidimus baudų dydžiai gerokai viršija baudą už neužsiregistravimą: ypač svarbiems subjektams iki 10 milijonų eurų arba 2 procentų pasaulinės metinės apyvartos, svarbiems subjektams iki 7 milijonų eurų arba 1,4 procento.

• Rizikos valdymas, atitinkantis naujausią technikos lygį, įskaitant tiekimo grandinę
• Pranešimo procesai, kurie iš tikrųjų gali užtikrinti 24 valandų terminus
• Įrodomas valdymas: atsakomybė tenka vadovybei

Nuo termino prie struktūros

Liepos terminas yra gera proga NIS2 laikyti ne pildoma forma, o struktūriniu uždaviniu: reikalavimai, priemonės, atsakingi asmenys ir įrodymai turi būti nuolat susieti, o ne išmėtyti skaičiuoklėse, kurios prieš kiekvieną auditą rūšiuojamos iš naujo.

Būtent tam kuriame Secani: darbo erdvę, kurioje tokių sistemų kaip NIS2 ar IT-Grundschutz++ reikalavimai pateikiami struktūrizuotai, o įgyvendinimas ir įrodymai dokumentuojami atsekamai. Jei lengvatinį laikotarpį norite išnaudoti ne vien registracijai, pasikalbėkite su mumis.