NIS2 įgyvendinimas.

NIS2 įgyvendinimo ir kibernetinio saugumo stiprinimo įstatymas (NIS2UmsuCG) perkelia Direktyvą (ES) 2022/2555 į Vokietijos teisę. Jis įsigaliojo 2025-12-06 be pereinamojo laikotarpio rizikos valdymo priemonėms. Pareigos nustatytos naujos redakcijos BSI įstatyme. § 28 BSIG apibrėžia ypač svarbius ir svarbius subjektus pagal sektorių, įmonės dydį ir tam tikrus išimtinius atvejus.

Pagrindinė pareiga įtvirtinta § 30 Abs. 1 BSIG: taikyti tinkamas, proporcingas ir veiksmingas technines bei organizacines priemones, kurios padeda išvengti paslaugoms naudojamų sistemų prieinamumo, vientisumo ir konfidencialumo sutrikimų ir sumažina saugumo incidentų poveikį. § 30 Abs. 2 BSIG išvardija dešimt privalomų minimalių priemonių. Skaitmeninių paslaugų, pavyzdžiui, debesijos, duomenų centrų ir valdomų paslaugų, teikėjams pirmenybė teikiama Įgyvendinimo reglamento (ES) 2024/2690 techniniams reikalavimams. Ypatingos svarbos įrenginių operatoriams pagal § 31 ir § 39 BSIG taikomos papildomos pareigos.

Pagal § 38 Abs. 1 BSIG vadovybė privalo įgyvendinti priemones ir prižiūrėti jų įgyvendinimą. Pažeidusi šią pareigą, pagal § 38 Abs. 2 BSIG ji atsako savo subjektui už dėl kaltės padarytą žalą pagal atitinkamas bendrovių teisės taisykles (vidinė atsakomybė). § 38 Abs. 3 BSIG taip pat reikalauja, kad jos nariai reguliariai dalyvautų mokymuose. Be to, taikoma registracijos pareiga pagal § 33 BSIG ir pranešimo pareigos pagal § 32 BSIG.

Už § 30 ir § 32 BSIG pažeidimus, įskaitant dokumentacijos nebuvimą pagal § 30 Abs. 1 Satz 3 BSIG, pagal § 65 BSIG gali būti skiriamos baudos. Didžiausia bauda ypač svarbiems subjektams siekia 10 mln. eurų, svarbiems subjektams – 7 mln. eurų. Jei įmonės bendra pasaulinė apyvarta viršija 500 mln. eurų, riba nustatoma pagal apyvartą: iki 2 procentų ypač svarbiems ir iki 1,4 procento svarbiems subjektams. Esant tokiai apyvartai tai visada yra didesnė suma.

Įmonės, kurioms Vokietijoje taikoma NIS2, klasifikuojamos pagal § 28 BSIG: lemiami veiksniai yra konkretus subjekto tipas, įmonės dydis ir specialios įtraukimo taisyklės. 1 ir 2 prieduose išvardytos atitinkamos veiklos. Todėl vien sektoriaus pavadinimas neatsako į klausimą, kaip ir darbuotojų skaičius neįvertinus veiklos.

Vertinant taikymą nagrinėjamas atskiras juridinis asmuo ir jo paslaugos. Pagal § 28 Abs. 4 BSIG taip pat atsižvelgiama į įmones partneres ir susijusias įmones; nuostatoje numatyta išimtis informacinių technologijų požiūriu nepriklausomoms įmonėms. Į vertinimą įtraukiamos specialios sektorių taisyklės pagal § 28 Abs. 5 ir 6 BSIG. BSI rekomenduoja užfiksuoti sprendimą ir jo pagrindą net kai reikalavimai netaikomi.

BSIG dokumentavimo pareigą susieja su institucijos priežiūros įgaliojimais. § 61 BSIG taikomas ypač svarbiems subjektams; § 62 BSIG leidžia tikrinti svarbius subjektus, kai yra atitinkamų požymių. Savanoriškas sertifikatas gali papildyti dokumentaciją, tačiau, BSI vertinimu, nepakeičia visų teisinių pareigų įvykdymo įrodymų. Lemiamą reikšmę turi tai, kokį subjektą, paslaugas ir priemones konkretus įrodymas iš tikrųjų apima.

ISO 27001 ir IT-Grundschutz gali padėti organizuoti informacijos saugumą; BSI ISO sertifikavimą apibūdina kaip naudingą BSIG įgyvendinimo pagrindą. Registraciją, teisės aktuose nustatytus pranešimo kanalus ir vadovybės pareigas reikia vertinti atskirai. Finansų sektoriaus subjektams, kuriems taikoma DORA, reikia patikrinti § 28 Abs. 6 BSIG išimtis.

Įgyvendintos, bet nedokumentuotos priemonės negalima įrodyti BSI. Todėl § 30 Abs. 1 Satz 3 BSIG dokumentavimą nustato kaip atskirą pareigą. Pagal informacinį rinkinį apie dokumentavimo pareigą BSI tikisi, kad sprendimai taikyti arba netaikyti priemonių būtų užfiksuoti ir pagrįsti, kad juos būtų galima susieti su rizikos analize ir kad būtų aišku, kaip vadovybė prižiūrėjo įgyvendinimą.

Ypač svarbiems subjektams BSI pagal § 61 BSIG gali nurodyti atlikti auditus, patikras ar sertifikavimą ir pareikalauti įrodymų; pagal § 61 Abs. 3 BSIG – ne anksčiau kaip po trejų metų nuo įsigaliojimo. Svarbius subjektus BSI tikrina pagal § 62 BSIG, kai faktai rodo pažeidimą. Kaip konkrečiai BSI tikrins įrodymus, dar nenustatyta. Aišku viena: tai, kas turės būti pateikta patikros metu, turi būti parengta iš anksto.

Įgyvendinimą galima įrodyti susiejus tris dalykus: įstatymo reikalavimą, priemonę, kuria jis vykdomas, ir įgyvendinimą patvirtinantį įrodymą, kiekvienam nurodant atsakingus asmenis ir datą.

ISO/IEC 27001 sertifikavimas tam yra geras pagrindas, tačiau, BSI nuomone, neįrodo NIS2 atitikties. Taikymo sritis, rizikos tvarkymas, pranešimo ir vadovybės pareigos gali skirtis, todėl jas reikia patikrinti atskirai.

Jei dar nenustatėte, ar jūsų subjektui taikomas § 28 BSIG, pradėkite nuo nemokamos taikymo patikros. Užfiksuokite rezultatą ir jo pagrindimą. Informaciniame rinkinyje apie dokumentavimo pareigą BSI rekomenduoja dokumentuoti patikrą ir gavus neigiamą rezultatą; šios dokumentacijos BSI gali pareikalauti pagal § 33 Abs. 4 BSIG.

Jei reikalavimai jums taikomi ir esate užsiregistravę, pradėkite nuo 1 priemonės. Dešimt priemonių sudaro minimalų turinį; rizikos analizė nustato, kaip išsamiai įgyvendinti kiekvieną iš jų. Įgyvendinimo patikra per kelias minutes parodo jūsų pažangą įgyvendinant visas dešimt priemonių ir likusias spragas.