NIS2: perioada de grație din Germania se încheie

Perioada de grație se încheie la 31 iulie 2026

Legea germană de transpunere a NIS2, NIS2UmsuCG, este în vigoare din decembrie 2025, fără perioadă de tranziție. Entitățile vizate trebuiau să se înregistreze în termen de trei luni la BSI, autoritatea federală germană pentru securitate cibernetică; acest termen a expirat la 6 martie 2026. Rezultatul a fost descurajant: din aproximativ 29.500 de companii vizate din Germania, doar circa 11.500 se înregistraseră până la termen.

BSI a precizat între timp că așteaptă înregistrările restante până la 31 iulie 2026. Această perioadă de grație este o oportunitate, nu o scutire: obligația de înregistrare există din martie, iar încălcarea ei poate fi sancționată, în sine, cu amenzi de până la 500.000 de euro.

• Legea este în vigoare din decembrie 2025, iar termenul de înregistrare a expirat la 6 martie 2026
• Doar aproximativ o treime dintre companiile vizate s-au înregistrat la timp
• BSI așteaptă înregistrările întârziate până la 31 iulie 2026

Cine este vizat și cum aflați acest lucru

NIS2 distinge între entități esențiale și entități importante din 18 sectoare, de la energie, transporturi și sănătate până la infrastructura digitală și producție. Ca regulă generală, companiile din aceste sectoare cu 50 sau mai mulți angajați ori cu o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane de euro pot intra în domeniul de aplicare; unele entități sunt vizate indiferent de dimensiune. Pentru grupurile internaționale, rețineți că o filială germană poate intra în domeniul de aplicare chiar dacă societatea-mamă este reglementată în altă țară.

Nu vă bazați pe reguli generale. BSI oferă o verificare oficială a aplicabilității NIS-2, care vă permite să vă stabiliți și să vă documentați încadrarea într-un mod structurat. Această evaluare este responsabilitatea conducerii; chiar și o concluzie documentată de tipul „nu suntem vizați” ar trebui păstrată împreună cu justificarea ei.

Cum funcționează înregistrarea

Înregistrarea se face prin portalul de raportare al BSI, portalul MUK. Autentificarea necesită un certificat de organizație ELSTER, credențialul administrației fiscale germane. Dacă organizația dumneavoastră nu are unul, solicitați-l imediat: emiterea durează de regulă câteva zile și devine un blocaj chiar înaintea termenelor.

Pentru înregistrarea propriu-zisă, pregătiți datele de bază: entitatea și sectorul, datele de contact ale unei persoane de contact disponibile, intervalele de adrese IP și statele membre în care sunt furnizate serviciile. Cu o pregătire bună, procesul se finalizează rapid.

După înregistrare începe munca adevărată

Legea impune entităților vizate menținerea unui pachet solid de măsuri de gestionare a riscurilor: de la analiza riscurilor și gestionarea incidentelor până la backup, gestionarea crizelor și securitatea lanțului de aprovizionare. La acestea se adaugă obligațiile de raportare etapizată a incidentelor semnificative (un raport inițial în 24 de ore, o actualizare în 72 de ore și un raport final după o lună), precum și obligații personale ale conducerii, care trebuie să aprobe și să supravegheze măsurile și să urmeze instruiri.

Pentru încălcarea acestor obligații, plafoanele amenzilor depășesc cu mult sancțiunea pentru neînregistrare: până la 10 milioane de euro sau 2 % din cifra de afaceri anuală la nivel mondial pentru entitățile esențiale și până la 7 milioane de euro sau 1,4 % pentru entitățile importante.

• Gestionarea riscurilor aliniată la stadiul actual al tehnologiei, inclusiv pentru lanțul de aprovizionare
• Procese de raportare care pot respecta efectiv termenele de 24 de ore
• Guvernanță demonstrabilă: responsabilitatea revine conducerii

De la termen la structură

Termenul din iulie este o bună ocazie de a trata NIS2 nu ca pe un formular de completat, ci ca pe o sarcină structurală: cerințele, măsurile, responsabilii și dovezile trebuie să rămână permanent legate între ele, nu dispersate în spreadsheet-uri care sunt reordonate înaintea fiecărui audit.

Exact pentru aceasta construim Secani: un spațiu de lucru în care cerințele din cadre de referință precum NIS2 sau IT-Grundschutz++ sunt disponibile în formă structurată, iar implementarea și dovezile sunt documentate în mod trasabil. Dacă doriți să folosiți perioada de grație pentru mai mult decât simpla înregistrare, discutați cu noi.