Wdrożenie NIS2.

Niemiecka ustawa wdrażająca NIS2 i wzmacniająca cyberbezpieczeństwo (NIS2UmsuCG) transponuje dyrektywę (UE) 2022/2555 do prawa niemieckiego. Weszła w życie 06.12.2025, bez okresu przejściowego dla środków zarządzania ryzykiem. Obowiązki określa znowelizowana ustawa o BSI. § 28 BSIG wskazuje, kto jest podmiotem szczególnie ważnym lub ważnym, na podstawie sektora, wielkości przedsiębiorstwa i określonych przypadków szczególnych.

Podstawowy obowiązek określa § 30 ust. 1 BSIG: stosowanie odpowiednich, proporcjonalnych i skutecznych środków technicznych i organizacyjnych, które zapobiegają zakłóceniom dostępności, integralności i poufności systemów wykorzystywanych do świadczenia usług oraz ograniczają skutki incydentów. § 30 ust. 2 BSIG wymienia dziesięć środków stanowiących minimum. W przypadku dostawców usług cyfrowych, takich jak usługi chmurowe, centra danych i usługi zarządzane, pierwszeństwo mają wymagania techniczne rozporządzenia wykonawczego (UE) 2024/2690. Operatorzy instalacji krytycznych mają dodatkowe obowiązki na podstawie § 31 i § 39 BSIG.

Zgodnie z § 38 ust. 1 BSIG kierownictwo ma obowiązek wdrażać środki i nadzorować ich wdrażanie. W razie naruszenia tego obowiązku ponosi na podstawie § 38 ust. 2 BSIG odpowiedzialność wobec własnego podmiotu za zawinione szkody, zgodnie z właściwym prawem spółek (odpowiedzialność wewnętrzna). § 38 ust. 3 BSIG wymaga ponadto regularnego udziału członków kierownictwa w szkoleniach. Obowiązują także rejestracja zgodnie z § 33 BSIG i zgłaszanie incydentów zgodnie z § 32 BSIG.

Naruszenia § 30 i § 32 BSIG, w tym brak dokumentacji wymaganej przez § 30 ust. 1 zdanie 3 BSIG, podlegają karom pieniężnym na podstawie § 65 BSIG. Górna granica wynosi 10 mln euro dla podmiotów szczególnie ważnych i 7 mln euro dla podmiotów ważnych. Jeżeli całkowity światowy obrót przedsiębiorstwa przekracza 500 mln euro, limit zależy zamiast tego od obrotu: do 2% dla podmiotów szczególnie ważnych i do 1,4% dla ważnych. Przy tej wielkości obrotu jest to zawsze wyższa kwota.

W Niemczech przedsiębiorstwa objęte NIS2 klasyfikuje się na podstawie § 28 BSIG: znaczenie mają konkretny rodzaj podmiotu, wielkość przedsiębiorstwa i szczególne zasady objęcia przepisami. Załączniki 1 i 2 wymieniają objęte działalności. Sama nazwa branży nie rozstrzyga więc tej kwestii, podobnie jak liczba pracowników bez sprawdzenia działalności.

Analiza podlegania przepisom dotyczy pojedynczego podmiotu prawnego i jego usług. Zgodnie z § 28 ust. 4 BSIG należy uwzględnić również przedsiębiorstwa partnerskie i powiązane; przepis przewiduje wyjątek dla przedsiębiorstw niezależnych pod względem informatycznym. Należy także sprawdzić szczególne regulacje sektorowe z § 28 ust. 5 i 6 BSIG. BSI zaleca udokumentowanie decyzji i jej podstaw także wtedy, gdy podmiot nie podlega przepisom.

BSIG łączy obowiązek dokumentacji z uprawnieniami nadzorczymi organu. § 61 BSIG dotyczy podmiotów szczególnie ważnych; § 62 BSIG umożliwia kontrolę podmiotów ważnych w razie odpowiednich przesłanek. Dobrowolny certyfikat może wspierać dokumentację, ale według BSI nie zastępuje wykazania wszystkich obowiązków ustawowych. Decydujące pozostaje to, jaki podmiot, usługi i środki rzeczywiście obejmuje dany dowód.

ISO 27001 i IT-Grundschutz mogą wspierać organizację bezpieczeństwa informacji; BSI określa certyfikację ISO jako pomocną podstawę wdrażania BSIG. Rejestracja, ustawowe kanały zgłaszania i obowiązki kierownictwa wymagają osobnej analizy. W przypadku podmiotów finansowych objętych DORA należy sprawdzić wyłączenia z § 28 ust. 6 BSIG.

Środka, który wdrożono, ale którego nie udokumentowano, nie da się wykazać wobec BSI. Dlatego § 30 ust. 1 zdanie 3 BSIG ustanawia dokumentację jako osobny obowiązek. Zgodnie z pakietem informacyjnym o obowiązku dokumentacji BSI oczekuje zapisu i uzasadnienia decyzji za i przeciw stosowaniu środków, możliwości wyprowadzenia ich z analizy ryzyka oraz wykazania, jak kierownictwo nadzorowało wdrożenie.

W przypadku podmiotów szczególnie ważnych BSI może zgodnie z § 61 BSIG zarządzić audyty, badania lub certyfikacje i zażądać dowodów, przy czym zgodnie z § 61 ust. 3 BSIG najwcześniej trzy lata po wejściu ustawy w życie. W przypadku podmiotów ważnych przeprowadza kontrolę na podstawie § 62 BSIG, gdy fakty wskazują na naruszenie. Nie ustalono jeszcze szczegółowo, jak BSI będzie weryfikować dowody. Pewne jest, że materiały przedstawiane podczas kontroli muszą powstać wcześniej.

Wdrożenie można wykazać, gdy połączone są trzy elementy: wymaganie ustawowe, środek służący jego spełnieniu i dowód potwierdzający wdrożenie, każdy z określoną odpowiedzialnością i datą.

Certyfikacja ISO/IEC 27001 stanowi dobrą podstawę, lecz zdaniem BSI nie jest dowodem zgodności z NIS2. Zakres, postępowanie z ryzykiem, obowiązki zgłaszania i obowiązki kierownictwa mogą się różnić i wymagają osobnego sprawdzenia.

Jeśli nie ustalili jeszcze Państwo, czy podmiot podlega § 28 BSIG, należy zacząć od bezpłatnego testu podlegania przepisom. Wynik trzeba zapisać wraz z uzasadnieniem. W pakiecie informacyjnym dotyczącym obowiązku dokumentacji BSI zaleca dokumentowanie oceny również przy wyniku negatywnym i może zażądać tej dokumentacji na podstawie § 33 ust. 4 BSIG.

Jeśli podmiot podlega przepisom i jest zarejestrowany, należy zacząć od środka 1. Dziesięć środków stanowi minimum; analiza ryzyka określa szczegółowość wdrożenia każdego z nich. Test wdrożenia w kilka minut pokazuje, na jakim etapie realizacji każdego z dziesięciu środków się Państwo znajdują i gdzie nadal występują luki.