NIS2: dodatočná lehota v Nemecku sa končí

Dodatočná lehota sa končí 31. júla 2026

Nemecký zákon o implementácii NIS2 – NIS2UmsuCG – je účinný od decembra 2025, a to bez prechodného obdobia. Dotknuté subjekty sa museli do troch mesiacov zaregistrovať na BSI, nemeckom spolkovom úrade pre kybernetickú bezpečnosť; táto lehota uplynula 6. marca 2026. Výsledok bol triezvy: z odhadovaných 29 500 dotknutých spoločností v Nemecku sa do termínu zaregistrovalo len približne 11 500.

BSI odvtedy jasne dal najavo, že chýbajúce registrácie očakáva do 31. júla 2026. Táto dodatočná lehota je príležitosťou, nie voľnou vstupenkou: registračná povinnosť platí od marca a už samotné jej porušenie možno pokutovať sumou až 500 000 eur.

• Zákon účinný od decembra 2025, lehota na registráciu uplynula 6. marca 2026
• Včas sa zaregistrovala len približne tretina dotknutých spoločností
• BSI očakáva oneskorencov do 31. júla 2026

Koho sa to týka – a ako to zistiť

NIS2 rozlišuje osobitne dôležité a dôležité subjekty v 18 sektoroch – od energetiky, dopravy a zdravotníctva až po digitálnu infraštruktúru a výrobu. Ako orientačné pravidlo platí, že do pôsobnosti môžu spadať spoločnosti v týchto sektoroch s 50 a viac zamestnancami alebo s ročným obratom a bilančnou sumou nad 10 miliónov eur; niektoré subjekty sú zahrnuté bez ohľadu na veľkosť. Medzinárodné skupiny by mali mať na pamäti, že nemecká dcérska spoločnosť môže spadať do pôsobnosti, aj keď materská spoločnosť podlieha regulácii inde.

Nespoliehajte sa na orientačné pravidlá. BSI poskytuje oficiálne overenie dotknutosti NIS-2, pomocou ktorého môžete svoje zaradenie štruktúrovane určiť a zdokumentovať. Toto posúdenie je zodpovednosťou vedenia – aj zdokumentovaný záver „nedotknutý“ by sa mal uchovať spolu s odôvodnením.

Ako prebieha registrácia

Registrácia prebieha cez ohlasovací portál BSI, portál MUK. Na autentifikáciu je potrebný organizačný certifikát ELSTER – prihlasovací prostriedok nemeckej daňovej správy. Ak ho vaša organizácia nemá, požiadajte oň okamžite: vydanie zvyčajne trvá niekoľko dní a tesne pred termínmi sa stáva úzkym hrdlom.

Na samotnú registráciu si pripravte kmeňové údaje: subjekt a sektor, kontaktné údaje dosiahnuteľnej kontaktnej osoby, rozsahy IP adries a členské štáty, v ktorých sa služby poskytujú. Pri dobrej príprave je proces rýchlo hotový.

Po registrácii sa začína skutočná práca

Zákon vyžaduje, aby dotknuté subjekty udržiavali solídny balík opatrení na riadenie rizík: od analýzy rizík a riešenia incidentov až po zálohovanie, krízové riadenie a bezpečnosť dodávateľského reťazca. K tomu pribúdajú stupňovité ohlasovacie povinnosti pri významných incidentoch – prvotné hlásenie do 24 hodín, nadväzujúce hlásenie do 72 hodín a záverečná správa po jednom mesiaci – ako aj osobné povinnosti vedenia, ktoré musí opatrenia schvaľovať, dohliadať na ne a absolvovať školenie.

Pri porušení týchto povinností siahajú rozpätia pokút ďaleko nad pokutu za registráciu: až 10 miliónov eur alebo 2 percentá celosvetového ročného obratu pri osobitne dôležitých subjektoch a až 7 miliónov eur alebo 1,4 percenta pri dôležitých subjektoch.

• Riadenie rizík v súlade s aktuálnym stavom techniky vrátane dodávateľského reťazca
• Ohlasovacie procesy, ktoré skutočne zvládnu 24-hodinové lehoty
• Preukázateľné riadenie: zodpovednosť nesie vedenie

Od termínu k štruktúre

Júlový termín je dobrou príležitosťou chápať NIS2 nie ako formulár na vyplnenie, ale ako štrukturálnu úlohu: požiadavky, opatrenia, zodpovedné osoby a dôkazy majú byť trvalo prepojené – nie v roztrúsených tabuľkách, ktoré sa pred každým auditom znova preusporadúvajú.

Presne na to budujeme Secani: pracovný priestor, v ktorom sú požiadavky z rámcov ako NIS2 alebo IT-Grundschutz++ k dispozícii v štruktúrovanej podobe a implementácia aj dôkazy sú zdokumentované dohľadateľne. Ak chcete dodatočnú lehotu využiť na viac než len samotnú registráciu, porozprávajte sa s nami.