NIS2 implementeren.

De Duitse NIS2-omzettings- en cyberbeveiligingsversterkingswet (NIS2UmsuCG) zet Richtlijn (EU) 2022/2555 om in Duits recht. De wet trad op 06.12.2025 in werking, zonder overgangstermijn voor de risicomanagementmaatregelen. De verplichtingen staan in de herziene BSI-wet. § 28 BSIG bepaalt op basis van sector, ondernemingsgrootte en enkele uitzonderingen wie als bijzonder belangrijke of belangrijke instelling geldt.

De kernverplichting staat in § 30 Abs. 1 BSIG: passende, evenredige en doeltreffende technische en organisatorische maatregelen die verstoringen van de beschikbaarheid, integriteit en vertrouwelijkheid van de voor de diensten gebruikte systemen voorkomen en de gevolgen van beveiligingsincidenten beperken. § 30 Abs. 2 BSIG noemt tien maatregelen die hier minimaal onder vallen. Voor aanbieders van digitale diensten zoals cloud-, datacenter- en managed services hebben de technische voorschriften van Uitvoeringsverordening (EU) 2024/2690 voorrang. Exploitanten van kritieke installaties hebben op grond van § 31 en § 39 BSIG aanvullende verplichtingen.

Het bestuur is op grond van § 38 Abs. 1 BSIG verplicht de maatregelen uit te voeren en de uitvoering ervan te bewaken. Bij schending van deze verplichting is het op grond van § 38 Abs. 2 BSIG tegenover de eigen instelling aansprakelijk voor verwijtbaar veroorzaakte schade, volgens de regels van het toepasselijke vennootschapsrecht (interne aansprakelijkheid). § 38 Abs. 3 BSIG vereist bovendien dat de bestuursleden regelmatig opleidingen volgen. Daarnaast gelden de registratieplicht van § 33 BSIG en de meldplichten van § 32 BSIG.

Overtredingen van § 30 en § 32 BSIG, waaronder ontbrekende documentatie op grond van § 30 Abs. 1 Satz 3 BSIG, zijn volgens § 65 BSIG beboetbaar. Het maximum bedraagt 10 miljoen euro voor bijzonder belangrijke en 7 miljoen euro voor belangrijke instellingen. Bij een wereldwijde totale ondernemingsomzet van meer dan 500 miljoen euro is in plaats daarvan de omzet bepalend: maximaal 2 procent voor bijzonder belangrijke en maximaal 1,4 procent voor belangrijke instellingen. Vanaf die omzet is dat altijd het hogere bedrag.

Ondernemingen die onder NIS2 vallen, worden in Duitsland ingedeeld op grond van § 28 BSIG: bepalend zijn het concrete type instelling, de ondernemingsgrootte en bijzondere inclusieregels. Bijlagen 1 en 2 noemen de activiteiten die eronder vallen. Alleen een sectoraanduiding beantwoordt de vraag daarom evenmin als het aantal medewerkers zonder toetsing van de activiteit.

De toepasselijkheidstoets kijkt naar de afzonderlijke rechtspersoon en haar diensten. Volgens § 28 Abs. 4 BSIG moeten ook partner- en verbonden ondernemingen worden meegenomen; de bepaling bevat een uitzondering voor ondernemingen die op informatietechnisch gebied onafhankelijk zijn. Sectorale uitzonderingen op grond van § 28 Abs. 5 en 6 BSIG horen bij de toets. Het BSI adviseert om de beslissing en de onderbouwing vast te leggen, ook wanneer de wet niet van toepassing is.

Het BSIG verbindt de documentatieplicht met toezichtsbevoegdheden van de autoriteit. § 61 BSIG betreft bijzonder belangrijke instellingen; § 62 BSIG maakt onderzoek bij belangrijke instellingen mogelijk wanneer daarvoor aanwijzingen bestaan. Een vrijwillig certificaat kan de documentatie ondersteunen, maar vervangt volgens het BSI niet het bewijs van alle wettelijke verplichtingen. Bepalend blijft welke instelling, diensten en maatregelen het betreffende bewijsstuk daadwerkelijk dekt.

ISO 27001 en IT-Grundschutz kunnen de organisatie van informatiebeveiliging ondersteunen; het BSI beschrijft ISO-certificering als een nuttige basis voor de uitvoering van het BSIG. Registratie, wettelijke meldkanalen en bestuursverplichtingen moeten afzonderlijk worden bekeken. Voor financiële entiteiten onder DORA moeten de uitzonderingen van § 28 Abs. 6 BSIG worden getoetst.

Een maatregel die is uitgevoerd maar niet gedocumenteerd, kan niet tegenover het BSI worden aangetoond. § 30 Abs. 1 Satz 3 BSIG maakt documentatie daarom tot een zelfstandige verplichting. Volgens zijn informatiepakket over de documentatieplicht verwacht het BSI dat beslissingen voor en tegen maatregelen met onderbouwing worden vastgelegd, dat ze uit de risicoanalyse volgen en dat zichtbaar is hoe het bestuur de uitvoering heeft bewaakt.

Bij bijzonder belangrijke instellingen kan het BSI op grond van § 61 BSIG audits, onderzoeken of certificeringen gelasten en bewijsmateriaal opvragen, volgens § 61 Abs. 3 BSIG op zijn vroegst drie jaar na de inwerkingtreding. Bij belangrijke instellingen onderzoekt het BSI op grond van § 62 BSIG wanneer feiten op een overtreding wijzen. Hoe het BSI bewijsmateriaal precies zal toetsen, is nog niet vastgesteld. Wel staat vast: wat bij een onderzoek moet worden overgelegd, moet vooraf zijn opgesteld.

De implementatie wordt aantoonbaar wanneer drie zaken met elkaar verbonden zijn: de wettelijke eis, de maatregel waarmee u eraan voldoet en het bewijsstuk dat de implementatie aantoont, telkens met verantwoordelijken en datum.

Certificering volgens ISO/IEC 27001 vormt hiervoor een goede basis, maar is volgens het BSI geen bewijs van NIS2-conformiteit. Scope, risicobehandeling, meldplichten en bestuursverplichtingen kunnen verschillen en moeten afzonderlijk worden getoetst.

Als u nog niet heeft vastgesteld of uw instelling onder § 28 BSIG valt, begin dan met de gratis toepasselijkheidstoets. Leg het resultaat met onderbouwing vast. Het BSI adviseert in zijn informatiepakket over de documentatieplicht om de toets ook bij een negatieve uitkomst te documenteren en kan deze documentatie op grond van § 33 Abs. 4 BSIG opvragen.

Als de wet op u van toepassing is en u geregistreerd bent, begin dan met maatregel 1. De tien maatregelen vormen de minimale inhoud; de risicoanalyse bepaalt hoe diepgaand u elke maatregel uitvoert. De implementatiecheck laat u in enkele minuten zien hoe ver u met elk van de tien maatregelen bent en waar nog hiaten bestaan.