Genomför NIS2.

Den tyska lagen om genomförande av NIS2 och förstärkt cybersäkerhet (NIS2UmsuCG) införlivar direktiv (EU) 2022/2555 i tysk rätt. Den trädde i kraft den 06.12.2025 utan övergångsperiod för riskhanteringsåtgärderna. Skyldigheterna finns i den omarbetade BSI-lagen. § 28 BSIG avgör vilka som är särskilt viktiga eller viktiga verksamhetsutövare utifrån sektor, företagsstorlek och vissa specialfall.

Kärnkravet finns i § 30 Abs. 1 BSIG: lämpliga, proportionerliga och effektiva tekniska och organisatoriska åtgärder som förebygger störningar i tillgängligheten, integriteten och konfidentialiteten hos de system som används för tjänsterna och begränsar säkerhetsincidenters konsekvenser. § 30 Abs. 2 BSIG anger tio åtgärder som minst ska ingå. För leverantörer av digitala tjänster, såsom moln-, datacenter- och hanterade tjänster, har de tekniska kraven i genomförandeförordning (EU) 2024/2690 företräde. Operatörer av kritiska anläggningar har ytterligare skyldigheter enligt § 31 och § 39 BSIG.

Enligt § 38 Abs. 1 BSIG ska ledningen genomföra åtgärderna och övervaka genomförandet. Om ledningen åsidosätter skyldigheten ansvarar den enligt § 38 Abs. 2 BSIG gentemot den egna verksamheten för skador som orsakats genom vållande, enligt tillämplig bolagsrätt (internt ansvar). § 38 Abs. 3 BSIG kräver även att ledningens medlemmar regelbundet deltar i utbildning. Dessutom gäller registreringsskyldigheten enligt § 33 BSIG och rapporteringsskyldigheterna enligt § 32 BSIG.

Överträdelser av § 30 och § 32 BSIG, inklusive utebliven dokumentation enligt § 30 Abs. 1 Satz 3 BSIG, kan medföra böter enligt § 65 BSIG. Maximibeloppet är 10 miljoner euro för särskilt viktiga och 7 miljoner euro för viktiga verksamhetsutövare. Om företagets globala totala omsättning överstiger 500 miljoner euro baseras beloppet i stället på omsättningen: upp till 2 procent för särskilt viktiga och upp till 1,4 procent för viktiga verksamhetsutövare. Över denna omsättningsnivå är detta alltid det högre beloppet.

Företag som omfattas av NIS2 klassificeras i Tyskland enligt § 28 BSIG. Avgörande är den konkreta typen av verksamhet, företagets storlek och särskilda regler om vilka som omfattas. Bilagorna 1 och 2 anger berörda verksamheter. Enbart branschtillhörighet besvarar därför inte frågan, lika lite som antalet anställda utan en prövning av verksamheten.

Bedömningen gäller den enskilda juridiska personen och dess tjänster. Enligt § 28 Abs. 4 BSIG ska även partnerföretag och anknutna företag beaktas. Bestämmelsen innehåller ett undantag för företag som är oberoende i informationstekniskt avseende. Särskilda sektorsregler enligt § 28 Abs. 5 och 6 BSIG ingår i prövningen. BSI rekommenderar att beslutet och dess grunder dokumenteras även när verksamheten inte omfattas.

BSIG kopplar dokumentationsskyldigheten till myndighetens tillsynsbefogenheter. § 61 BSIG gäller särskilt viktiga verksamhetsutövare. § 62 BSIG möjliggör granskning av viktiga verksamhetsutövare när det finns relevanta indikationer. Ett frivilligt certifikat kan stödja dokumentationen men ersätter enligt BSI:s bedömning inte underlag för alla lagstadgade skyldigheter. Avgörande är vilken verksamhetsutövare, vilka tjänster och vilka åtgärder respektive underlag faktiskt omfattar.

ISO 27001 och IT-Grundschutz kan stödja organiseringen av informationssäkerheten. BSI beskriver ISO-certifiering som en användbar grund för att genomföra BSIG. Registrering, lagstadgade rapporteringsvägar och ledningens skyldigheter behöver bedömas separat. För finansiella entiteter under DORA ska undantagen enligt § 28 Abs. 6 BSIG prövas.

En åtgärd som har genomförts men inte dokumenterats kan inte styrkas för BSI. § 30 Abs. 1 Satz 3 BSIG gör därför dokumentationen till en egen skyldighet. Enligt BSI:s informationspaket om dokumentationsskyldighet ska beslut för och emot åtgärder dokumenteras med motivering, kunna härledas ur riskanalysen och visa hur ledningen har övervakat genomförandet.

För särskilt viktiga verksamhetsutövare kan BSI enligt § 61 BSIG besluta om revisioner, granskningar eller certifieringar och begära underlag, enligt § 61 Abs. 3 BSIG tidigast tre år efter ikraftträdandet. Viktiga verksamhetsutövare granskas enligt § 62 BSIG om fakta tyder på en överträdelse. Hur BSI i detalj kommer att granska underlag är ännu inte fastställt. Det som ska visas upp vid en granskning måste ha tagits fram i förväg.

Genomförandet kan styrkas när tre saker kopplas samman: lagkravet, åtgärden som uppfyller det och underlaget som visar genomförandet, var och en med ansvarig och datum.

En certifiering enligt ISO/IEC 27001 är en god grund för detta men utgör enligt BSI inget bevis på NIS2-efterlevnad. Omfattning, riskbehandling, rapporteringsskyldigheter och ledningens skyldigheter kan skilja sig och bör prövas separat.

Om ni ännu inte har klarlagt om er verksamhet omfattas av § 28 BSIG börjar ni med den kostnadsfria tillämplighetskontrollen. Dokumentera resultatet och motiveringen. BSI rekommenderar i sitt informationspaket om dokumentationsskyldighet att prövningen dokumenteras även vid ett negativt resultat och kan begära dokumentationen enligt § 33 Abs. 4 BSIG.

Om ni omfattas och är registrerade börjar ni med åtgärd 1. De tio åtgärderna är minimiinnehållet. Riskanalysen avgör hur ingående ni ska genomföra varje åtgärd. Genomförandekontrollen visar på några minuter hur långt ni har kommit med var och en av de tio åtgärderna och var luckor återstår.