NIS2: nemško podaljšano obdobje se izteka

Podaljšano obdobje se izteče 31. julija 2026

Nemški zakon o prenosu NIS2 – NIS2UmsuCG – velja od decembra 2025, brez prehodnega obdobja. Zajeti subjekti so se morali v treh mesecih registrirati pri BSI, nemškem zveznem organu za kibernetsko varnost; ta rok je potekel 6. marca 2026. Rezultat je bil streznitven: od ocenjenih 29.500 zajetih podjetij v Nemčiji se jih je do roka registriralo le približno 11.500.

BSI je od takrat jasno sporočil, da neopravljene registracije pričakuje do 31. julija 2026. To podaljšano obdobje je priložnost, ne prosta vozovnica: obveznost registracije obstaja od marca, in že samo njena kršitev se lahko kaznuje z globo do 500.000 evrov.

• Zakon velja od decembra 2025, rok za registracijo je potekel 6. marca 2026
• Le približno tretjina zajetih podjetij se je registrirala pravočasno
• BSI zamudnike pričakuje do 31. julija 2026

Kdo je zajet – in kako to ugotoviti

NIS2 razlikuje med bistvenimi in pomembnimi subjekti v 18 sektorjih – od energetike, prometa in zdravstva do digitalne infrastrukture in predelovalnih dejavnosti. Kot splošno pravilo lahko v področje uporabe spadajo podjetja v teh sektorjih s 50 ali več zaposlenimi ali z več kot 10 milijoni evrov letnega prometa in bilančne vsote; nekateri subjekti so zajeti ne glede na velikost. Mednarodne skupine naj upoštevajo, da je lahko nemška hčerinska družba zajeta, tudi če je matična družba regulirana drugje.

Ne zanašajte se na splošna pravila. BSI zagotavlja uradno preverjanje zajetosti NIS-2, s katerim lahko svojo razvrstitev strukturirano določite in dokumentirate. Ta ocena je odgovornost vodstva – tudi dokumentiran sklep „ni zajeto“ je treba hraniti skupaj z utemeljitvijo.

Kako poteka registracija

Registracija poteka prek portala BSI za poročanje, portala MUK. Za overjanje je potreben organizacijski certifikat ELSTER – poverilnica nemške davčne uprave. Če ga vaša organizacija nima, zanj zaprosite takoj: izdaja običajno traja več dni in tik pred roki postane ozko grlo.

Za samo registracijo imejte pripravljene osnovne podatke: subjekt in sektor, kontaktne podatke dosegljive kontaktne točke, obsege naslovov IP in države članice, v katerih se zagotavljajo storitve. Ob dobri pripravi je postopek hitro opravljen.

Po registraciji se začne pravo delo

Zakon od zajetih subjektov zahteva, da vzdržujejo trden sklop ukrepov za obvladovanje tveganj: od analize tveganj in obravnave incidentov do varnostnega kopiranja, kriznega upravljanja in varnosti dobavne verige. Temu se pridružujejo postopne obveznosti poročanja o znatnih incidentih – začetno poročilo v 24 urah, nadaljnje poročilo v 72 urah in končno poročilo po enem mesecu – ter osebne dolžnosti vodstva, ki mora ukrepe odobriti in nadzorovati ter se usposabljati.

Za kršitve teh obveznosti razponi glob daleč presegajo kazen za registracijo: do 10 milijonov evrov ali 2 odstotka svetovnega letnega prometa za bistvene subjekte in do 7 milijonov evrov ali 1,4 odstotka za pomembne subjekte.

• Upravljanje tveganj, usklajeno z najnovejšim stanjem tehnike, vključno z dobavno verigo
• Procesi poročanja, ki dejansko zmorejo 24-urne roke
• Dokazljivo upravljanje: odgovornost je pri vodstvu

Od roka do strukture

Julijski rok je dobra priložnost, da NIS2 ne obravnavate kot obrazec za izpolnjevanje, temveč kot strukturno nalogo: zahteve, ukrepi, lastniki in dokazila morajo biti trajno povezani – ne v razpršenih preglednicah, ki se pred vsako revizijo znova razvrščajo.

Prav za to gradimo Secani: delovno okolje, v katerem so zahteve iz okvirov, kot sta NIS2 ali IT-Grundschutz++, na voljo v strukturirani obliki, izvedba in dokazila pa so dokumentirani sledljivo. Če želite podaljšano obdobje izkoristiti za več kot zgolj registracijo, se pogovorite z nami.