Zavedenie NIS2.

Nemecký zákon o transpozícii NIS2 a posilnení kybernetickej bezpečnosti (NIS2UmsuCG) transponuje smernicu (EÚ) 2022/2555 do nemeckého práva. Účinnosť nadobudol 06.12.2025 bez prechodného obdobia pre opatrenia na riadenie rizík. Povinnosti obsahuje nové znenie zákona o BSI. Kto je obzvlášť dôležitým alebo dôležitým subjektom, určuje § 28 BSIG podľa odvetvia, veľkosti podniku a niektorých osobitných prípadov.

Základnú povinnosť stanovuje § 30 Abs. 1 BSIG: vhodné, primerané a účinné technické a organizačné opatrenia, ktoré predchádzajú narušeniam dostupnosti, integrity a dôvernosti systémov používaných na poskytovanie služieb a obmedzujú dosahy bezpečnostných incidentov. § 30 Abs. 2 BSIG uvádza desať opatrení, ktoré tvoria ich minimálny obsah. Pri poskytovateľoch digitálnych služieb, napríklad cloudu, dátových centier a riadených služieb, majú prednosť technické požiadavky vykonávacieho nariadenia (EÚ) 2024/2690. Prevádzkovatelia kritických zariadení majú dodatočné povinnosti podľa § 31 a § 39 BSIG.

Vedenie je podľa § 38 Abs. 1 BSIG povinné zaviesť opatrenia a dohliadať na ich zavedenie. Ak túto povinnosť poruší, zodpovedá podľa § 38 Abs. 2 BSIG voči vlastnému subjektu za zavinené škody podľa pravidiel príslušného práva obchodných spoločností (vnútorná zodpovednosť). § 38 Abs. 3 BSIG navyše vyžaduje pravidelnú účasť členov vedenia na školeniach. Súčasne platí registračná povinnosť podľa § 33 BSIG a oznamovacie povinnosti podľa § 32 BSIG.

Za porušenie § 30 a § 32 BSIG vrátane chýbajúcej dokumentácie podľa § 30 Abs. 1 Satz 3 BSIG možno podľa § 65 BSIG uložiť pokutu. Horná hranica je 10 miliónov eur pre obzvlášť dôležité a 7 miliónov eur pre dôležité subjekty. Ak celkový celosvetový obrat podniku presahuje 500 miliónov eur, určuje sa namiesto toho podľa obratu: až 2 percentá pri obzvlášť dôležitých a až 1,4 percenta pri dôležitých subjektoch. Od tejto výšky obratu ide vždy o vyššiu sumu.

Podniky, na ktoré sa vzťahuje NIS2, sa v Nemecku zaraďujú podľa § 28 BSIG: rozhoduje konkrétny druh subjektu, veľkosť podniku a osobitné pravidlá zahrnutia. Prílohy 1 a 2 uvádzajú dotknuté činnosti. Samotné označenie odvetvia preto nestačí, rovnako ako počet zamestnancov bez posúdenia činnosti.

Posúdenie pôsobnosti sa zameriava na jednotlivú právnickú osobu a jej služby. Podľa § 28 Abs. 4 BSIG treba zohľadniť aj partnerské a prepojené podniky; ustanovenie obsahuje výnimku pre podniky s nezávislými informačnými technológiami. Súčasťou posúdenia sú osobitné odvetvové pravidlá podľa § 28 Abs. 5 a 6 BSIG. BSI odporúča zaznamenať rozhodnutie vrátane jeho podkladov aj v prípade, že subjekt do pôsobnosti nespadá.

BSIG spája dokumentačnú povinnosť s právomocami orgánov dohľadu. § 61 BSIG sa týka obzvlášť dôležitých subjektov; § 62 BSIG umožňuje kontrolu dôležitých subjektov pri existencii príslušných indícií. Dobrovoľný certifikát môže podporiť dokumentáciu, podľa stanoviska BSI však nenahrádza preukázanie všetkých zákonných povinností. Rozhodujúce zostáva, ktorý subjekt, služby a opatrenia príslušný doklad skutočne pokrýva.

ISO 27001 a IT-Grundschutz môžu podporiť organizáciu informačnej bezpečnosti; BSI opisuje certifikáciu ISO ako užitočný základ pre plnenie BSIG. Registráciu, zákonné oznamovacie postupy a povinnosti vedenia treba posudzovať samostatne. Pri finančných subjektoch podliehajúcich DORA treba preveriť výnimky podľa § 28 Abs. 6 BSIG.

Opatrenie, ktoré je zavedené, ale nie zdokumentované, nemožno preukázať BSI. § 30 Abs. 1 Satz 3 BSIG preto stanovuje dokumentáciu ako samostatnú povinnosť. Podľa informačného balíka k dokumentačnej povinnosti BSI očakáva, že rozhodnutia o prijatí aj neprijatí opatrení budú zaznamenané s odôvodnením, bude ich možné odvodiť z analýzy rizík a bude zrejmé, ako vedenie dohliadalo na zavedenie.

Pri obzvlášť dôležitých subjektoch môže BSI podľa § 61 BSIG nariadiť audity, kontroly alebo certifikácie a vyžiadať dôkazy, podľa § 61 Abs. 3 BSIG najskôr tri roky po nadobudnutí účinnosti. Pri dôležitých subjektoch vykonáva kontrolu podľa § 62 BSIG, ak skutočnosti nasvedčujú porušeniu. Ako bude BSI dôkazy podrobne posudzovať, zatiaľ nie je stanovené. Isté je, že podklady predkladané pri kontrole musia vzniknúť vopred.

Zavedenie je preukázateľné, keď sú prepojené tri veci: zákonná požiadavka, opatrenie, ktorým ju plníte, a dôkaz preukazujúci zavedenie, vždy so zodpovednými osobami a dátumom.

Certifikácia podľa ISO/IEC 27001 je na to dobrým základom, podľa stanoviska BSI však nepreukazuje súlad s NIS2. Rozsah pôsobnosti, ošetrovanie rizík, oznamovacie povinnosti a povinnosti vedenia sa môžu líšiť a mali by sa preveriť samostatne.

Ak ste ešte nevyjasnili, či váš subjekt spadá pod § 28 BSIG, začnite bezplatným posúdením pôsobnosti. Zaznamenajte výsledok aj odôvodnenie. BSI vo svojom informačnom balíku k dokumentačnej povinnosti odporúča zdokumentovať posúdenie aj pri negatívnom výsledku a túto dokumentáciu môže vyžiadať podľa § 33 Abs. 4 BSIG.

Ak do pôsobnosti spadáte a ste zaregistrovaní, začnite opatrením 1. Desať opatrení predstavuje minimálny obsah; analýza rizík určuje, do akej hĺbky každé z nich zavediete. Kontrola zavedenia vám za niekoľko minút ukáže, ako ďaleko ste pri každom z desiatich opatrení a kde ešte zostávajú medzery.