Izvajanje NIS2.

Nemški zakon o izvajanju NIS2 in krepitvi kibernetske varnosti (NIS2UmsuCG) prenaša Direktivo (EU) 2022/2555 v nemško pravo. Veljati je začel 6. 12. 2025 brez prehodnega obdobja za ukrepe upravljanja tveganj. Obveznosti so določene v prenovljenem zakonu o BSI. Kdo se šteje za posebej pomemben ali pomemben subjekt, določa § 28 BSIG glede na sektor, velikost podjetja in nekatere posebne primere.

Osrednja obveznost je določena v § 30 Abs. 1 BSIG: primerni, sorazmerni in učinkoviti tehnični in organizacijski ukrepi za preprečevanje motenj razpoložljivosti, celovitosti in zaupnosti sistemov, ki se uporabljajo za storitve, ter omejevanje posledic varnostnih incidentov. § 30 Abs. 2 BSIG našteva deset obveznih minimalnih ukrepov. Za ponudnike digitalnih storitev, kot so storitve v oblaku, podatkovni centri in upravljane storitve, imajo prednost tehnične zahteve Izvedbene uredbe (EU) 2024/2690. Upravljavci kritičnih objektov imajo dodatne obveznosti po § 31 in § 39 BSIG.

Poslovodstvo mora po § 38 Abs. 1 BSIG izvajati ukrepe in nadzorovati njihovo izvajanje. Če krši to obveznost, po § 38 Abs. 2 BSIG lastni organizaciji odgovarja za krivdno povzročeno škodo po pravilih veljavnega prava družb (notranja odgovornost). § 38 Abs. 3 BSIG zahteva tudi redno udeležbo članov poslovodstva na usposabljanjih. Poleg tega veljata obveznost registracije po § 33 BSIG in obveznosti poročanja po § 32 BSIG.

Za kršitve § 30 in § 32 BSIG, vključno z manjkajočo dokumentacijo po § 30 Abs. 1 Satz 3 BSIG, so po § 65 BSIG predvidene globe. Zgornja meja je 10 milijonov evrov za posebej pomembne in 7 milijonov evrov za pomembne subjekte. Če skupni svetovni promet podjetja presega 500 milijonov evrov, se namesto tega uporabi merilo prometa: do 2 odstotka za posebej pomembne in do 1,4 odstotka za pomembne subjekte. Pri takem prometu je to vedno višji znesek.

Podjetja, zavezana po NIS2, se v Nemčiji razvrščajo na podlagi § 28 BSIG: odločilni so konkretna vrsta subjekta, velikost podjetja in posebna pravila vključitve. Prilogi 1 in 2 navajata zajete dejavnosti. Sama oznaka panoge zato ne odgovori na vprašanje, prav tako ne število zaposlenih brez preverjanja dejavnosti.

Preverjanje zavezanosti obravnava posamezno pravno osebo in njene storitve. Po § 28 Abs. 4 BSIG je treba upoštevati tudi partnerska in povezana podjetja; določba vsebuje izjemo za podjetja z neodvisno informacijsko tehnologijo. V preverjanje sodijo posebna sektorska pravila po § 28 Abs. 5 in 6 BSIG. BSI priporoča, da odločitev in njene podlage zabeležite tudi, če niste zavezani.

BSIG povezuje obveznost dokumentiranja s pooblastili nadzornih organov. § 61 BSIG zadeva posebej pomembne subjekte; § 62 BSIG omogoča preverjanje pomembnih subjektov ob ustreznih indicih. Prostovoljen certifikat lahko podpre dokumentacijo, vendar po stališču BSI ne nadomešča dokazovanja vseh zakonskih obveznosti. Odločilno ostaja, kateri subjekt, storitve in ukrepe posamezno dokazilo dejansko zajema.

ISO 27001 in IT-Grundschutz lahko podpreta organizacijo informacijske varnosti; BSI opisuje certifikat ISO kot koristno podlago za izvajanje BSIG. Registracijo, zakonske poti poročanja in obveznosti poslovodstva je treba obravnavati ločeno. Za finančne subjekte, za katere velja DORA, je treba preveriti izjeme po § 28 Abs. 6 BSIG.

Izvedenega, a nedokumentiranega ukrepa BSI ni mogoče dokazati. § 30 Abs. 1 Satz 3 BSIG zato določa dokumentiranje kot samostojno obveznost. BSI v informacijskem paketu o obveznosti dokumentiranja pričakuje utemeljene zapise odločitev za ukrepe in proti njim, njihovo izpeljavo iz analize tveganj ter razviden nadzor poslovodstva nad izvajanjem.

Pri posebej pomembnih subjektih lahko BSI po § 61 BSIG odredi revizije, preverjanja ali certificiranja in zahteva dokazila, po § 61 Abs. 3 BSIG najprej tri leta po začetku veljavnosti. Pri pomembnih subjektih preverja po § 62 BSIG, če dejstva kažejo na kršitev. Kako bo BSI podrobno preverjal dokazila, še ni določeno. Jasno pa je: kar bo treba predložiti ob preverjanju, mora nastati pred njim.

Izvajanje postane dokazljivo, ko povežete tri stvari: zakonsko zahtevo, ukrep, s katerim jo izpolnjujete, in dokazilo o izvedbi, vsako z odgovorno osebo in datumom.

Certificiranje po ISO/IEC 27001 je dobra podlaga za to, vendar po stališču BSI ni dokaz skladnosti z NIS2. Obseg, obravnava tveganj, obveznosti poročanja in obveznosti poslovodstva se lahko razlikujejo in jih je treba preveriti posebej.

Če še niste razjasnili, ali za vašo organizacijo velja § 28 BSIG, začnite z brezplačnim preverjanjem zavezanosti. Zabeležite rezultat z utemeljitvijo. BSI v informacijskem paketu o obveznosti dokumentiranja priporoča, da preverjanje dokumentirate tudi ob negativnem izidu, in lahko to dokumentacijo zahteva po § 33 Abs. 4 BSIG.

Če ste zavezani in registrirani, začnite z ukrepom 1. Deset ukrepov je minimalna vsebina; analiza tveganj določa, kako podrobno jih izvajate. Preverjanje izvajanja vam v nekaj minutah pokaže, kako daleč ste pri vsakem od desetih ukrepov in kje še obstajajo vrzeli.