NIS2 ieviešana.

NIS2 ieviešanas un kiberdrošības stiprināšanas likums (NIS2UmsuCG) transponē Direktīvu (ES) 2022/2555 Vācijas tiesībās. Tas stājās spēkā 06.12.2025. bez pārejas perioda risku pārvaldības pasākumiem. Pienākumi noteikti pārstrādātajā BSI likumā. § 28 BSIG nosaka, kuras struktūras uzskatāmas par īpaši svarīgām vai svarīgām, pamatojoties uz nozari, uzņēmuma lielumu un atsevišķiem īpašiem gadījumiem.

Pamatpienākums noteikts § 30 Abs. 1 BSIG: piemēroti, samērīgi un efektīvi tehniski un organizatoriski pasākumi, kas novērš pakalpojumiem izmantoto sistēmu pieejamības, integritātes un konfidencialitātes traucējumus un mazina drošības incidentu ietekmi. § 30 Abs. 2 BSIG nosauc desmit pasākumus, kas jāiekļauj vismaz. Digitālo pakalpojumu, piemēram, mākoņpakalpojumu, datu centru un pārvaldīto pakalpojumu, sniedzējiem priekšroka ir Īstenošanas regulas (ES) 2024/2690 tehniskajām prasībām. Kritisko iekārtu operatoriem ir papildu pienākumi saskaņā ar § 31 un § 39 BSIG.

Saskaņā ar § 38 Abs. 1 BSIG vadībai ir pienākums īstenot pasākumus un uzraudzīt to īstenošanu. Ja šis pienākums tiek pārkāpts, saskaņā ar § 38 Abs. 2 BSIG vadība savas struktūras priekšā atbild par vainojami nodarītiem zaudējumiem atbilstoši attiecīgajām komerctiesību normām (iekšējā atbildība). § 38 Abs. 3 BSIG arī pieprasa, lai vadības locekļi regulāri piedalītos apmācībās. Papildus jāievēro reģistrācijas pienākums saskaņā ar § 33 BSIG un ziņošanas pienākumi saskaņā ar § 32 BSIG.

Par § 30 un § 32 BSIG pārkāpumiem, tostarp dokumentācijas trūkumu saskaņā ar § 30 Abs. 1 Satz 3 BSIG, § 65 BSIG paredz naudas sodus. Maksimālā robeža ir 10 miljoni eiro īpaši svarīgām un 7 miljoni eiro svarīgām struktūrām. Ja uzņēmuma kopējais apgrozījums pasaulē pārsniedz 500 miljonus eiro, robežu nosaka pēc apgrozījuma: līdz 2 procentiem īpaši svarīgām un līdz 1,4 procentiem svarīgām struktūrām. Pie šāda apgrozījuma tas vienmēr ir lielākais apmērs.

Uzņēmumus, uz kuriem attiecas NIS2, Vācijā klasificē saskaņā ar § 28 BSIG: izšķirošs ir konkrētais struktūras veids, uzņēmuma lielums un īpašie iekļaušanas noteikumi. 1. un 2. pielikumā nosauktas aptvertās darbības. Tāpēc nozares nosaukums vien nesniedz atbildi, tāpat kā darbinieku skaits, neizvērtējot darbību.

Piemērojamības pārbaudē izvērtē atsevišķo juridisko personu un tās pakalpojumus. Saskaņā ar § 28 Abs. 4 BSIG jāņem vērā arī partneruzņēmumi un saistītie uzņēmumi; informācijas tehnoloģiju ziņā neatkarīgiem uzņēmumiem šī norma paredz izņēmumu. Pārbaudē jāietver nozarēm īpašie noteikumi saskaņā ar § 28 Abs. 5 un 6 BSIG. BSI iesaka fiksēt lēmumu un tā pamatojumu arī tad, ja regulējums nav piemērojams.

BSIG sasaista dokumentēšanas pienākumu ar iestāžu uzraudzības pilnvarām. § 61 BSIG attiecas uz īpaši svarīgām struktūrām; § 62 BSIG ļauj pārbaudīt svarīgas struktūras, ja ir attiecīgas norādes. Brīvprātīgs sertifikāts var papildināt dokumentāciju, taču saskaņā ar BSI skaidrojumu tas neaizstāj pierādījumus par visu likumā noteikto pienākumu izpildi. Izšķiroši ir tas, kuru struktūru, pakalpojumus un pasākumus attiecīgais pierādījums faktiski aptver.

ISO 27001 un IT-Grundschutz var palīdzēt organizēt informācijas drošību; BSI raksturo ISO sertifikāciju kā noderīgu pamatu BSIG ieviešanai. Reģistrācija, likumā noteiktie ziņošanas ceļi un vadības pienākumi joprojām jāizvērtē atsevišķi. Finanšu vienībām, uz kurām attiecas DORA, jāpārbauda izņēmumi saskaņā ar § 28 Abs. 6 BSIG.

Pasākumu, kas ir ieviests, bet nav dokumentēts, BSI nevar pierādīt. Tādēļ § 30 Abs. 1 Satz 3 BSIG nosaka dokumentēšanu kā atsevišķu pienākumu. Saskaņā ar dokumentēšanas pienākuma informatīvo materiālu BSI sagaida, ka lēmumi par un pret pasākumiem ir fiksēti ar pamatojumu, tos var atvasināt no risku analīzes un ir redzams, kā vadība uzraudzījusi ieviešanu.

Īpaši svarīgām struktūrām BSI saskaņā ar § 61 BSIG var uzdot auditus, pārbaudes vai sertifikācijas un pieprasīt pierādījumus; saskaņā ar § 61 Abs. 3 BSIG — ne agrāk kā trīs gadus pēc likuma stāšanās spēkā. Svarīgas struktūras BSI pārbauda saskaņā ar § 62 BSIG, ja fakti norāda uz pārkāpumu. Vēl nav noteikts, kā BSI detalizēti pārbaudīs pierādījumus. Skaidrs ir tas, ka pārbaudē iesniedzamajiem materiāliem jābūt sagatavotiem iepriekš.

Ieviešanu var pierādīt, ja savienotas trīs lietas: likuma prasība, pasākums tās izpildei un pierādījums, kas apliecina ieviešanu, katram norādot atbildīgo un datumu.

ISO/IEC 27001 sertifikācija tam ir labs pamats, taču pēc BSI ieskata tā nav NIS2 atbilstības apliecinājums. Darbības joma, risku apstrāde, ziņošanas un vadības pienākumi var atšķirties un būtu jāizvērtē atsevišķi.

Ja vēl neesat noskaidrojuši, vai jūsu struktūrai piemēro § 28 BSIG, sāciet ar bezmaksas piemērojamības pārbaudi. Fiksējiet rezultātu un pamatojumu. Savā dokumentēšanas pienākuma informatīvajā materiālā BSI iesaka dokumentēt pārbaudi arī negatīva rezultāta gadījumā un var pieprasīt šo dokumentāciju saskaņā ar § 33 Abs. 4 BSIG.

Ja regulējums uz jums attiecas un esat reģistrējušies, sāciet ar 1. pasākumu. Desmit pasākumi ir minimālais saturs; risku analīze nosaka, cik padziļināti katrs jāievieš. Ieviešanas pārbaude dažu minūšu laikā parāda jūsu progresu katrā no desmit pasākumiem un atlikušās nepilnības.