Implementați NIS2.

Legea germană de transpunere a NIS2 și de consolidare a securității cibernetice (NIS2UmsuCG) transpune Directiva (UE) 2022/2555 în dreptul german. A intrat în vigoare la 06.12.2025, fără perioadă de tranziție pentru măsurile de gestionare a riscurilor. Obligațiile sunt prevăzute în noua versiune a Legii BSI. § 28 BSIG stabilește ce entități sunt deosebit de importante sau importante, în funcție de sector, dimensiunea întreprinderii și anumite cazuri speciale.

Obligația principală este prevăzută în § 30 Abs. 1 BSIG: măsuri tehnice și organizatorice adecvate, proporționale și eficace, care să prevină perturbările disponibilității, integrității și confidențialității sistemelor utilizate pentru servicii și să limiteze efectele incidentelor de securitate. § 30 Abs. 2 BSIG enumeră zece măsuri care trebuie incluse cel puțin. Pentru furnizorii de servicii digitale, precum serviciile cloud, centrele de date și serviciile gestionate, au prioritate cerințele tehnice din Regulamentul de punere în aplicare (UE) 2024/2690. Operatorii instalațiilor critice au obligații suplimentare conform § 31 și § 39 BSIG.

Conform § 38 Abs. 1 BSIG, conducerea are obligația să implementeze măsurile și să supravegheze implementarea acestora. Dacă încalcă această obligație, răspunde față de propria entitate, conform § 38 Abs. 2 BSIG, pentru prejudiciile cauzate din culpă, potrivit normelor dreptului societăților aplicabil (răspundere internă). § 38 Abs. 3 BSIG cere și participarea periodică a membrilor conducerii la formări. Se aplică, de asemenea, obligația de înregistrare din § 33 BSIG și obligațiile de raportare din § 32 BSIG.

Încălcările § 30 și § 32 BSIG, inclusiv lipsa documentației conform § 30 Abs. 1 Satz 3 BSIG, se sancționează cu amendă conform § 65 BSIG. Plafonul este de 10 milioane de euro pentru entitățile deosebit de importante și de 7 milioane de euro pentru cele importante. Dacă cifra de afaceri totală mondială a întreprinderii depășește 500 de milioane de euro, plafonul se raportează în schimb la cifra de afaceri: până la 2% pentru entitățile deosebit de importante și până la 1,4% pentru cele importante. De la acest nivel al cifrei de afaceri, rezultă întotdeauna valoarea mai mare.

Întreprinderile vizate de NIS2 sunt clasificate în Germania conform § 28 BSIG: contează tipul concret de entitate, dimensiunea întreprinderii și regulile speciale de includere. Anexele 1 și 2 enumeră activitățile vizate. Simpla denumire a sectorului nu răspunde, așadar, la întrebare, după cum nici numărul angajaților nu o face fără verificarea activității.

Verificarea aplicabilității privește fiecare entitate juridică și serviciile acesteia. Conform § 28 Abs. 4 BSIG, trebuie avute în vedere și întreprinderile partenere și cele legate; dispoziția prevede o excepție pentru întreprinderile independente din perspectiva tehnologiei informației. Verificarea include regulile sectoriale speciale din § 28 Abs. 5 și 6 BSIG. BSI recomandă consemnarea deciziei și a fundamentelor sale chiar și atunci când cerințele nu se aplică.

BSIG corelează obligația de documentare cu competențele de supraveghere ale autorității. § 61 BSIG privește entitățile deosebit de importante; § 62 BSIG permite verificarea entităților importante atunci când există indicii relevante. Un certificat voluntar poate susține documentația, dar, potrivit interpretării BSI, nu înlocuiește dovada îndeplinirii tuturor obligațiilor legale. Decisiv rămâne ce entitate, servicii și măsuri acoperă efectiv fiecare document justificativ.

ISO 27001 și IT-Grundschutz pot sprijini organizarea securității informației; BSI descrie certificarea ISO drept o bază utilă pentru implementarea BSIG. Înregistrarea, canalele legale de raportare și obligațiile conducerii trebuie analizate separat. Pentru entitățile financiare aflate sub incidența DORA, trebuie verificate excepțiile din § 28 Abs. 6 BSIG.

O măsură implementată, dar nedocumentată, nu poate fi dovedită în fața BSI. De aceea, § 30 Abs. 1 Satz 3 BSIG face din documentare o obligație distinctă. Conform pachetului informativ privind obligația de documentare, BSI așteaptă ca deciziile pentru și împotriva măsurilor să fie consemnate și justificate, să poată fi deduse din analiza riscurilor și să arate cum a supravegheat conducerea implementarea.

Pentru entitățile deosebit de importante, BSI poate dispune audituri, verificări sau certificări și solicita dovezi conform § 61 BSIG, iar conform § 61 Abs. 3 BSIG, cel mai devreme la trei ani după intrarea în vigoare. Pentru entitățile importante, verifică potrivit § 62 BSIG atunci când faptele indică o încălcare. Modul concret în care BSI va examina dovezile nu este încă stabilit. Un lucru este cert: ceea ce trebuie prezentat la verificare trebuie să fi fost creat în prealabil.

Implementarea poate fi demonstrată atunci când sunt legate trei elemente: cerința legală, măsura prin care o îndepliniți și dovada implementării, fiecare cu responsabili și dată.

Certificarea ISO/IEC 27001 constituie o bază bună în acest scop, dar, potrivit BSI, nu dovedește conformitatea cu NIS2. Domeniul de aplicare, tratarea riscurilor, obligațiile de raportare și cele ale conducerii pot diferi și trebuie verificate separat.

Dacă nu ați clarificat încă dacă entitatea dvs. intră sub incidența § 28 BSIG, începeți cu verificarea gratuită a aplicabilității. Consemnați rezultatul și justificarea. În pachetul informativ privind obligația de documentare, BSI recomandă documentarea verificării chiar și în cazul unui rezultat negativ și poate solicita această documentație conform § 33 Abs. 4 BSIG.

Dacă sunteți vizat și înregistrat, începeți cu măsura 1. Cele zece măsuri reprezintă conținutul minim; analiza riscurilor determină nivelul de detaliu al implementării fiecăreia. Verificarea implementării vă arată în câteva minute cât de mult ați avansat la fiecare dintre cele zece măsuri și unde mai există lacune.