Řízení o pokutě podle NIS 2 krok za krokem
Čl. 34 NIS 2 stanoví strop. Německý Ordnungswidrigkeitengesetz stanoví postup. §65 BSIG je propojuje.
Co tento článek popisuje
NIS 2 ukládá členským státům povinnost zavést správní pokuty vůči subjektům, které neplní své povinnosti v oblasti řízení rizik kybernetické bezpečnosti nebo hlášení. Čl. 34 NIS 2 stanoví maximální částky a kritéria výpočtu. Každý členský stát tento strop zapojí do svého vlastního práva o správních deliktech.
V Německu zákon o BSI provádí katalog pokut v §65 BSIG. Procesní koleje sedí v Ordnungswidrigkeitengesetz (OWiG): slyšení podle §55 OWiG, oznámení o pokutě podle §41 OWiG, námitka do dvou týdnů podle §67 OWiG. Hmotněprávní pravidla výpočtu v §17 OWiG fungují vedle faktorů specifických pro NIS 2 v čl. 34 odst. 7.
Tato stránka popisuje, jak řízení vypadá zvenčí. Neposkytuje rady, jak reagovat. Konkrétní obhajoba v řízení podle §65 BSIG vyžaduje trestní a regulatorní právní zastoupení.
Vrstva EU: čl. 34 NIS 2
Member States shall ensure that administrative fines imposed on essential and important entities pursuant to this Article in respect of infringements of this Directive are, in each individual case, effective, proportionate and dissuasive.
Čl. 34 odst. 4 stanoví maximum na 10 milionů EUR nebo 2 procenta z celkového celosvětového ročního obratu za předchozí účetní rok u klíčových subjektů. Čl. 34 odst. 5 stanoví 7 milionů EUR nebo 1,4 procenta u důležitých subjektů, podle toho, která částka je v každém případě vyšší.
Národní vrstva: §65 BSIG (Německo)
Eine Ordnungswidrigkeit kann bei einer besonders wichtigen Einrichtung mit einer Geldbuße bis zu zehn Millionen Euro oder bis zu zwei Prozent des im vorangegangenen Geschäftsjahr weltweit erzielten Gesamtumsatzes des Unternehmens, dem die Einrichtung angehört, geahndet werden, je nachdem, welcher Betrag höher ist. Bei einer wichtigen Einrichtung beträgt die Geldbuße bis zu sieben Millionen Euro oder bis zu 1,4 Prozent des Gesamtumsatzes.
§65 BSIG zrcadlí strop podle čl. 34 NIS 2. Seznam pokutovatelného jednání v §65 odst. 1 BSIG zahrnuje mimo jiné selhání opatření k řízení rizik podle §30 BSIG, zmeškané hlášení incidentů podle §32 BSIG a zmeškanou registraci podle §33 BSIG.
Procesní řád: OWiG
Vor Erlass eines Bußgeldbescheids ist dem Betroffenen Gelegenheit zu geben, sich zu der Beschuldigung zu äußern. (§55 OWiG)
OWiG upravuje postup. §55 OWiG vyžaduje slyšení před oznámením o pokutě. §41 OWiG specifikuje formu Bußgeldbescheidu. §67 OWiG dává adresátovi dva týdny od doručení na podání Einspruch. §17 OWiG upravuje hmotněprávní výpočet, aplikovaný společně s kritérii podle čl. 34 odst. 7 NIS 2.
Zahájení
Řízení podle §65 BSIG obvykle začíná poté, co dozorový úřad zjistí spouštěcí událost: selhání opatření kybernetické bezpečnosti podle §30 BSIG odhalené při auditu nebo vlastním hlášení, zmeškané nebo opožděné oznámení incidentu podle §32 BSIG (24hodinové včasné varování, 72hodinová zpráva, finální zpráva do jednoho měsíce), nebo zmeškaná registrace podle §33 BSIG. Úřad zahájí Ordnungswidrigkeitenverfahren a uvědomí subjekt.
Anhörungsschreiben
Než může být vydáno jakékoli oznámení o pokutě, úřad zašle Anhörungsschreiben, které uvádí údajné jednání, právní základ podle §65 BSIG a lhůtu pro vyjádření. Dopis o slyšení je procesní, nikoli verdikt. Mlčení řízení nezastaví. Rámec §65 BSIG počítá s tím, že věc bude rozhodnuta podle spisu, pokud subjekt nereaguje.
Bußgeldbescheid
Pokud úřad dospěje k závěru, že delikt je prokázán, vydá Bußgeldbescheid podle §41 OWiG. Částka se vypočítá podle kritérií čl. 34 odst. 7 NIS 2 (závažnost, doba trvání, úmysl nebo nedbalost, předchozí porušení, finanční prospěch, spolupráce, předchozí opatření) společně s §17 OWiG. Oznámení obsahuje poučení podle §67 OWiG: dva týdny na podání Einspruch.
Účinné, přiměřené, odrazující
Čl. 34 odst. 1 NIS 2 váže úřad k proporcionalitě. Strop 10 milionů EUR nebo 2 procenta je maximum, nikoli tarif. §17 OWiG vyžaduje, aby úřad zvážil závažnost deliktu a ekonomické poměry subjektu. V praxi se výpočet pohybuje oběma směry: nahoru za závažnost a opakování, dolů za skutečnou spolupráci a prokazatelná předchozí opatření.
Spolupráce je faktorem výpočtu
Čl. 34 odst. 7 písm. f) NIS 2 uvádí míru spolupráce s příslušnými orgány jako polehčující faktor. Dobrovolné oznámení porušení, důkaz o nápravných opatřeních a plný přístup do spisu, to vše se započítává do výpočtu. Předchozí opatření subjektu podle §30 BSIG (čl. 34 odst. 7 písm. d) NIS 2) se posuzují proti stejnému základu.
Bundesamt für Sicherheit in der Informationstechnik
BSI je příslušným dozorovým orgánem pro většinu sektorů NIS 2 v Německu podle §1 BSIG. Zahajuje a vede řízení o pokutě podle §65 BSIG. Provozovatelé kritických zařízení (KRITIS) spadají pod tentýž orgán. Bußgeldbescheide a korespondence o Einspruch probíhají přes BSI.
ENISA a skupina pro spolupráci
ENISA neukládá pokuty. Vytváří pokyny a koordinuje skupinu pro spolupráci NIS podle čl. 14 NIS 2. Výstupy ENISA (taxonomie incidentů, pokyny specifické pro sektor) určují, co se počítá jako stav techniky podle čl. 21 odst. 2 NIS 2, a tím vstupují do výpočtu podle čl. 34 odst. 7.
Sektoroví dozorci
Pro finance, energetiku, dopravu a zdravotnictví si sektoroví regulátoři ponechávají paralelní roli podle §61 BSIG a sektorově specifického práva. Strop podle §65 BSIG stále platí. Tam, kde DORA pokrývá finanční subjekt, má vlastní sankční režim DORA přednost pro opatření kybernetické bezpečnosti, ale povinnost registrace podle čl. 27 NIS 2 stále běží.
Strop 2 procenta se počítá z obratu německého subjektu.
Čl. 34 odst. 4 NIS 2 a §65 BSIG počítají procento z celkového celosvětového ročního obratu podniku, k němuž subjekt patří, za předchozí účetní rok. U dceřiných společností uvnitř větší skupiny to může zvednout strop o řády nad místní výnosy.
Pokud Anhörung ignorujeme, věc zmizí.
§55 OWiG vyžaduje pouze, aby úřad dal subjektu příležitost se vyjádřit. Nevyžaduje odpověď. Rámec §65 BSIG počítá s tím, že věc postoupí k Bußgeldbescheidu podle spisu, pokud žádné vyjádření nedorazí. Procesní řád se kvůli mlčení nezpomalí.
Plné zpřístupnění každého provozního detailu pokutu minimalizuje.
Čl. 34 odst. 7 písm. f) NIS 2 odměňuje spolupráci s příslušným orgánem. Nevyžaduje, aby subjekt sestavil za úřad jeho případ. Hranice mezi spoluprací a sebeobviněním je bodem, ve kterém vstupuje právní zástupce. Procesní přiznání učiněná bez právního zástupce se obtížně berou zpět.
Dvoutýdenní lhůta pro Einspruch podle §67 OWiG běží od doručení Bußgeldbescheidu. Je to zákonná lhůta, nikoli předmět vyjednávání. Její zmeškání učiní oznámení konečným podle §66 OWiG, načež zůstávají jen úzké cesty navrácení v předešlý stav. Dopis o slyšení podle §55 OWiG nenese vlastní obdobnou lhůtu, ale úřad ji v dopise stanoví.
Konkrétní obhajoba v řízení podle §65 BSIG vyžaduje trestní a regulatorní právní zastoupení. Tento článek popisuje řízení a právní kotvy. Nezabývá se tím, jak reagovat na konkrétní dopis o slyšení nebo oznámení o pokutě. Cokoli, co se dotýká podstaty řízení rizik subjektu (§30 BSIG), jeho historie hlášení (§32 BSIG) nebo jeho předchozích opatření podle čl. 21 NIS 2, by mělo být projednáno s právním zástupcem, než to subjekt opustí.
Řízení podle §65 BSIG se rozhoduje podle spisu. Výpočet podle čl. 34 odst. 7 NIS 2 odměňuje předchozí opatření, spolupráci a zdokumentovanou historii. Tato historie se buduje dříve, než jakýkoli dopis dorazí: kdo schválil které kontrolní opatření, kdy byl incident nahlášen, jaké důkazy stály za opatřeními k řízení rizik podle §30 BSIG.
Platforma zaznamenává tuto historii průběžně. Schválení, stopy přiřazení, oznámení incidentů a schválení politik nesou časové značky a identity. Nic z toho řízení nerozhoduje. To vše je druh spisu, na který se výpočet podle §17 OWiG a čl. 34 odst. 7 NIS 2 dívá.
- Směrnice (EU) 2022/2555 (NIS 2), čl. 34: Obecné podmínky pro ukládání správních pokut klíčovým a důležitým subjektům.
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), §65: Bußgeldvorschriften.
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSIG), §30 (Risikomanagement), §32 (Meldepflichten), §33 (Registrierung).
- Gesetz über Ordnungswidrigkeiten (OWiG), §17 (Bemessung), §41 (Bußgeldbescheid), §55 (Anhörung), §66 (Rechtskraft), §67 (Einspruch).
- ENISA, výstupy skupiny pro spolupráci NIS 2 a technické prováděcí pokyny.