Ohlašovací portál BSI
Jedna platforma, dvě povinnosti NIS 2: prvotní registrace jako subjekt a ohlašování významných incidentů. Přístup přes organizační certifikát ELSTER.
Co to je
Portál BSI je místo, kde se sbíhají dvě z vašich nejdůležitějších povinností NIS 2. Prvotní registrace jako subjekt na jedné straně, ohlašování významných incidentů na straně druhé. Obě cesty končí za stejným přihlášením.
Povinnosti vyplývají z § 32 a § 33 BSIG. § 33 říká: tři měsíce na registraci od okamžiku, kdy spadnete do působnosti NIS 2. § 32 říká: u významného incidentu čtyři fáze ohlašování s pevnými lhůtami, 24 hodin včasné varování, 72 hodin následné hlášení, průběžná zpráva na žádost CSIRT, závěrečná zpráva do jednoho měsíce. Obě lhůty běží od okamžiku, kdy se o incidentu dozvíte, ne od vzniku škody.
Nejčastějším kamenem úrazu není samotný portál, ale přístup k němu. Potřebujete organizační certifikát ELSTER. Přichází poštou ve dvou dopisech, dopis s certifikátem plus PIN, zpracování v praxi dva až tři týdny. Pokud necháte tříměsíční lhůtu podle § 33 BSIG natěsno a žádost o ELSTER zahájíte souběžně, máte problém s načasováním.
§ 32 BSIG (ohlašovací povinnosti) + čl. 23 NIS 2
Nezbytné a důležité subjekty ohlásí Spolkovému úřadu významné bezpečnostní incidenty bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o nich dozvědí, prostřednictvím jednotného kontaktního místa.
Jednotným kontaktním místem je portál BSI. Povinnost platí pro všechny nezbytné a důležité subjekty bez ohledu na sektor nebo velikost v rámci prahových hodnot NIS 2. Lhůta běží od okamžiku, kdy se o incidentu dozvíte, ne od vzniku škody.
§ 33 BSIG (registrační povinnost) + čl. 27 NIS 2
Nezbytné a důležité subjekty se zaregistrují u Spolkového úřadu do tří měsíců od okamžiku, kdy poprvé splní podmínky. Změny se oznámí do dvou týdnů.
Tříměsíční lhůta platí pro prvotní registraci. Dvoutýdenní lhůta podle § 33 odst. 5 BSIG platí pro každou pozdější změnu (kontaktní osoba, sektor, činnost). Oba kroky probíhají přes portál.
Prvotní registrace
Podle § 33 BSIG: základní údaje, sektor, kontaktní osoba, rozsah činnosti, velikostní třída. Tři měsíce od okamžiku, kdy poprvé spadnete do působnosti NIS 2.
Včasné varování, 24 hodin
Podle § 32 BSIG a čl. 23 odst. 4 písm. a) NIS 2: prvotní hlášení uvádějící podezření na protiprávní nebo zlovolnou příčinu a přeshraniční dopad. To jsou jediné obsahové položky, které směrnice pro 24hodinové včasné varování výslovně jmenuje.
Hlášení, 72 hodin
Podle § 32 BSIG a čl. 23 odst. 4 písm. b) NIS 2: prvotní posouzení závažnosti a dopadu, indikátory kompromitace, jsou-li k dispozici. Lhůta 72 h běží od okamžiku, kdy se o incidentu dozvíte, ne od značky 24 h.
Průběžná zpráva na žádost
Podle § 32 BSIG a čl. 23 odst. 4 písm. c) NIS 2: pouze na žádost CSIRT nebo příslušného orgánu. Průběžnou zprávu nepodáváte z vlastní iniciativy.
Závěrečná zpráva, 1 měsíc
Podle § 32 BSIG a čl. 23 odst. 4 písm. d) NIS 2: podrobný popis, příčina, zmírňující opatření, přeshraniční dopad. Lhůta jednoho měsíce od následného hlášení po 72 h.
Aktualizace údajů do 2 týdnů
Podle § 33 odst. 5 BSIG a čl. 27 odst. 2 NIS 2: dva týdny na aktualizaci registračních údajů. Nejčastějším spouštěčem je personální změna kontaktní osoby.
Přístup k varováním a situačním zprávám
Portál také sdružuje publikace BSI, varování a sektorové situační zprávy. Užitečné, když už jste stejně přihlášeni.
Žádost probíhá přes Mein Unternehmenskonto na mein-unternehmenskonto.de. Předpoklad: německé daňové číslo pro vaši organizaci. Samotný certifikát přichází poštou, aktivační PIN přichází v samostatném dopise. To není náhoda, je to součást ověřování.
Zpracování v praxi: dva až tři týdny. Většina vedení tento krok podceňuje, protože zní jako IT záležitost, ale závisí na poštovním doručení. Abyste dodrželi tříměsíční lhůtu podle § 33 BSIG, požádejte nejprve o ELSTER a teprve poté se registrujte u BSI.
Bez ELSTER je přístup v současnosti možný jen ve výjimečných případech, například přes elektronické zmocnění. Web BSI přípustné cesty podrobně dokumentuje.
Žádost o ELSTER zahájena příliš pozdě
Dva až tři týdny doby zpracování se nezkrátí, pokud žádost zahájíte těsně před lhůtou. Výsledek: lhůta podle § 33 BSIG zmeškána. Může následovat pokuta podle § 65 BSIG.
Neaktualizovaná kontaktní osoba
Personální změny jsou nejčastějším tichým porušením NIS 2. Podle § 33 odst. 5 BSIG a čl. 27 odst. 2 NIS 2 máte dva týdny na aktualizaci registračních údajů. Pokud se na to zapomene, dotazy BSI nikam nedojdou a všimnete si toho až při příští eskalaci.
Žádný nácvik ohlášení nanečisto
24 hodin je málo. Otevírat portál poprvé uprostřed incidentu vás stojí hodiny, které nemáte. Doporučení: přihlaste se jednou v klidu, projděte si strukturu, uložte kontakty, dávno předtím, než to budete potřebovat použít.
- Zákon o Spolkovém úřadu pro bezpečnost informací (BSIG), §§ 32, 33, 65, www.gesetze-im-internet.de
- Směrnice (EU) 2022/2555 (NIS 2), čl. 23, čl. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (organizační certifikát ELSTER): mein-unternehmenskonto.de
- Web BSI s odkazem na portál: www.bsi.bund.de
Tato stránka poskytuje strukturované vodítko založené na veřejně dostupných zdrojích (směrnice NIS 2, BSIG, dokumentace ELSTER, publikace BSI). Nepředstavuje právní poradenství ve smyslu § 2 RDG. Procesní detaily portálu BSI a žádosti o ELSTER se mohou změnit; rozhodující je aktuální dokumentace BSI a ELSTER. Stav k 2026-06-04.