Portal zgłoszeniowy BSI
Jedna platforma, dwa obowiązki NIS 2: pierwsza rejestracja jako podmiot oraz zgłaszanie poważnych incydentów. Dostęp przez certyfikat organizacji ELSTER.
Czym jest
Portal BSI to miejsce, w którym spotykają się dwa z Twoich najważniejszych obowiązków NIS 2. Pierwsza rejestracja jako podmiot z jednej strony, zgłaszanie poważnych incydentów z drugiej. Obie ścieżki lądują za tym samym logowaniem.
Obowiązki wynikają z §32 i §33 BSIG. §33 stanowi: trzy miesiące na rejestrację od chwili, gdy znajdziesz się w zakresie NIS 2. §32 stanowi: w przypadku poważnego incydentu cztery etapy zgłoszenia z twardymi terminami, 24 godziny wczesne ostrzeżenie, 72 godziny zgłoszenie uzupełniające, raport pośredni na żądanie CSIRT, raport końcowy w ciągu jednego miesiąca. Oba zegary ruszają z chwilą powzięcia wiedzy, a nie z chwilą wystąpienia szkody.
Najczęstszą przeszkodą nie jest sam portal, lecz dostęp do niego. Potrzebujesz certyfikatu organizacji ELSTER. Przychodzi on pocztą w dwóch listach, list z certyfikatem oraz PIN, przetwarzanie w praktyce dwa do trzech tygodni. Jeśli napiętnie podchodzisz do trzymiesięcznego terminu z §33 BSIG i równolegle zaczynasz wniosek o ELSTER, masz problem z czasem.
§32 BSIG (obowiązki zgłoszeniowe) + art. 23 NIS 2
Podmioty kluczowe i ważne zgłaszają Federalnemu Urzędowi poważne incydenty bezpieczeństwa bez zbędnej zwłoki, najpóźniej w ciągu 24 godzin od powzięcia wiedzy, za pośrednictwem pojedynczego punktu zgłoszeń.
Pojedynczy punkt zgłoszeń to portal BSI. Obowiązek dotyczy wszystkich podmiotów kluczowych i ważnych, niezależnie od sektora czy wielkości w granicach progów NIS 2. Zegar rusza z chwilą powzięcia wiedzy, a nie z chwilą wystąpienia szkody.
§33 BSIG (obowiązek rejestracji) + art. 27 NIS 2
Podmioty kluczowe i ważne rejestrują się w Federalnym Urzędzie w ciągu trzech miesięcy od pierwszego spełnienia warunków. Zmiany zgłasza się w ciągu dwóch tygodni.
Trzymiesięczny termin dotyczy pierwszej rejestracji. Dwutygodniowy termin na podstawie §33 ust. 5 BSIG dotyczy każdej późniejszej zmiany (osoba kontaktowa, sektor, działalność). Oba kroki przechodzą przez portal.
Pierwsza rejestracja
Na podstawie §33 BSIG: dane podstawowe, sektor, osoba kontaktowa, zakres działalności, klasa wielkości. Trzy miesiące od chwili, gdy po raz pierwszy znajdujesz się w zakresie NIS 2.
Wczesne ostrzeżenie, 24 godziny
Na podstawie §32 BSIG i art. 23 ust. 4 lit. a) NIS 2: wstępne zgłoszenie wskazujące podejrzenie bezprawnej lub złośliwej przyczyny oraz wpływ transgraniczny. To jedyne elementy treści, które dyrektywa wyraźnie wymienia dla 24-godzinnego wczesnego ostrzeżenia.
Zgłoszenie, 72 godziny
Na podstawie §32 BSIG i art. 23 ust. 4 lit. b) NIS 2: wstępna ocena istotności i wpływu, wskaźniki naruszenia integralności systemu, jeśli są dostępne. Zegar 72 godzin biegnie od powzięcia wiedzy, a nie od momentu 24 godzin.
Raport pośredni na żądanie
Na podstawie §32 BSIG i art. 23 ust. 4 lit. c) NIS 2: wyłącznie na żądanie CSIRT lub właściwego organu. Raportu pośredniego nie składasz z własnej inicjatywy.
Raport końcowy, 1 miesiąc
Na podstawie §32 BSIG i art. 23 ust. 4 lit. d) NIS 2: szczegółowy opis, przyczyna, środki łagodzące, wpływ transgraniczny. Termin jednego miesiąca od zgłoszenia uzupełniającego po 72 godzinach.
Aktualizacja danych w ciągu 2 tygodni
Na podstawie §33 ust. 5 BSIG i art. 27 ust. 2 NIS 2: dwa tygodnie na aktualizację danych rejestracyjnych. Najczęstszym wyzwalaczem jest zmiana kadrowa osoby kontaktowej.
Dostęp do ostrzeżeń i raportów sytuacyjnych
Portal zbiera również publikacje BSI, ostrzeżenia i sektorowe raporty sytuacyjne. Przydatne, gdy i tak jesteś zalogowany.
Wniosek składa się przez Mein Unternehmenskonto pod adresem mein-unternehmenskonto.de. Warunek: niemiecki numer podatkowy dla Twojej organizacji. Sam certyfikat przychodzi pocztą, PIN aktywacyjny przychodzi w osobnym liście. To nie przypadek, to część uwierzytelniania.
Przetwarzanie w praktyce: dwa do trzech tygodni. Większość zespołów zarządczych nie docenia tego kroku, bo brzmi jak sprawa IT, ale zależy od dostawy pocztowej. Aby dotrzymać trzymiesięcznego terminu z §33 BSIG, najpierw złóż wniosek o ELSTER, a potem zarejestruj się w BSI.
Bez ELSTER dostęp jest obecnie możliwy tylko w wyjątkowych przypadkach, na przykład przez elektroniczne upoważnienie. Strona BSI szczegółowo dokumentuje dopuszczalne ścieżki.
Wniosek o ELSTER złożony zbyt późno
Dwa do trzech tygodni czasu przetwarzania nie skracają się, jeśli złożysz wniosek tuż przy terminie. Skutek: niedotrzymanie terminu z §33 BSIG. Może z tego wyniknąć kara na podstawie §65 BSIG.
Niezaktualizowana osoba kontaktowa
Zmiany kadrowe są najczęstszym cichym naruszeniem NIS 2. Na podstawie §33 ust. 5 BSIG i art. 27 ust. 2 NIS 2 masz dwa tygodnie na aktualizację danych rejestracyjnych. Jeśli się o tym zapomni, zapytania BSI trafiają w próżnię, a zauważysz to dopiero przy następnej eskalacji.
Brak próbnego przejścia zgłoszenia
24 godziny to mało. Otwieranie portalu po raz pierwszy w środku incydentu spala godziny, których nie masz. Zalecenie: zaloguj się raz w spokojnych warunkach, przejdź przez strukturę, zapisz kontakty, na długo zanim będziesz musiał z tego skorzystać.
- Ustawa o Federalnym Urzędzie ds. Bezpieczeństwa Informacji (BSIG), §§32, 33, 65, www.gesetze-im-internet.de
- Dyrektywa (UE) 2022/2555 (NIS 2), art. 23, art. 27, www.eur-lex.europa.eu
- Mein Unternehmenskonto (certyfikat organizacji ELSTER): mein-unternehmenskonto.de
- Strona BSI z odnośnikiem do portalu: www.bsi.bund.de
Ta strona stanowi ustrukturyzowane wskazówki oparte na publicznie dostępnych źródłach (dyrektywa NIS 2, BSIG, dokumentacja ELSTER, publikacje BSI). Nie stanowi porady prawnej w rozumieniu §2 RDG. Szczegóły proceduralne portalu BSI i wniosku ELSTER mogą się zmienić; rozstrzygająca jest aktualna dokumentacja BSI i ELSTER. Stan na 2026-06-04.