Co 'bez zbędnej zwłoki' naprawdę oznacza w 24-godzinnym zegarze NIS 2
Art. 23(4)(a) NIS 2 ma dwa zegary, nie jeden. Znajomość różnicy to różnica między obroną terminowego wczesnego ostrzeżenia a stanięciem wobec możliwej do uniknięcia grzywny z §65 BSIG.
Dlaczego brzmienie ma znaczenie
Art. 23(4)(a) NIS 2 mówi, że wczesne ostrzeżenie jest należne 'bez zbędnej zwłoki i w każdym przypadku w ciągu 24 godzin' od powzięcia wiedzy o istotnym incydencie. Dwa zegary, nie jeden. Liczba 24 godzin to twardy pułap; obowiązkiem operacyjnym jest pierwsza fraza.
W praktyce oznacza to: zgłoszenie, które dociera w 23. godzinie, wciąż może być spóźnione, jeżeli podmiot mógł rozsądnie złożyć je w 4. godzinie. To, co 'rozsądne', audytorzy testują z perspektywy czasu.
Czytelnicy po raz pierwszy skupiają się na liczbie 24 godzin i przeoczają strukturę prawną. Zrozumienie obu zegarów to najtańsza obrona, jaką możesz przygotować z wyprzedzeniem przed incydentem.
Art. 23(4)(a) NIS 2
Where applicable, an early warning, which, without undue delay and in any event within 24 hours of becoming aware of the significant incident, shall indicate whether the significant incident is suspected of being caused by unlawful or malicious acts or could have a cross-border impact.
Dwa zegary wprost nazwane w tym samym zdaniu. 'Bez zbędnej zwłoki' to obowiązek operacyjny; '24 godziny' to granica zewnętrzna. Wyzwalaczem jest powzięcie wiedzy, a nie wykrycie.
§32(1) Nr. 1 BSIG
Wesentliche und wichtige Einrichtungen melden dem Bundesamt erhebliche Sicherheitsvorfälle unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung als frühe Erstmeldung.
Niemiecka transpozycja używa 'unverzüglich' dla 'bez zbędnej zwłoki'. 'Unverzüglich' to zdefiniowany termin prawny w §121(1) BGB, mianowicie 'ohne schuldhaftes Zögern': bez zawinionej zwłoki. Ta definicja wnosi do obowiązku zgłaszania z NIS 2 cały dorobek niemieckiego orzecznictwa.
Motyw 102 NIS 2 (tło)
In order to determine the reporting obligations, the timeline of the notification and the format of the notification, the assessment of the impact of the incident should be considered.
Motyw 102 to wskazówka interpretacyjna: termin zgłoszenia nie jest oderwany od rozsądnej oceny podmiotu. Nie oczekuje się, że zgłosisz, zanim będziesz mieć informacje; oczekuje się, że zgłosisz, gdy tylko rozsądnie mógłbyś.
Zegar 1: bez zbędnej zwłoki
Obowiązek operacyjny. Podmiot musi zgłosić, gdy tylko rozsądnie może, po powzięciu wiedzy. 'Rozsądne' pozwala na czas na potwierdzenie faktów i eskalację wewnętrzną; nie pozwala na grupowanie dla wygody ani na czekanie na rozpoczęcie dnia roboczego.
Zegar 2: w każdym przypadku w ciągu 24 godzin
Twardy pułap. Niezależnie od tego, co 'rozsądne' oznaczało w danym przypadku, wczesne ostrzeżenie nie może być późniejsze niż 24 godziny od powzięcia wiedzy. Po jego przekroczeniu podmiot narusza przepisy nawet z idealnym uzasadnieniem.
Wyzwalacz: powzięcie wiedzy
Nie wykrycie techniczne. Powzięcie wiedzy w ujęciu prawnym to moment, w którym podmiot, działając rozsądnie, wiedział lub powinien był wiedzieć. Alert SIEM zalegający nieprzeczytany w kolejce może już liczyć się jako powzięcie wiedzy przez podmiot, jeżeli rozsądnie działający SOC by go przeczytał.
Dozwolone: czas na potwierdzenie
Nie musisz zgłaszać, zanim będziesz mieć istotne informacje. Kilka godzin na triage, potwierdzenie zakresu i wykluczenie fałszywych alarmów jest rozsądne. Dyrektywa nie karze odpowiedzialnej weryfikacji.
Dozwolone: czas na eskalację
Wewnętrzna eskalacja przez łańcuch reagowania na incydenty, z zatwierdzeniem przez wyznaczonego oficera zgłaszającego, jest częścią normalnej procedury. Dwugodzinna eskalacja w godzinach pracy jest rozsądna; 20-godzinne oczekiwanie na powrót CEO z urlopu nie jest.
Niedozwolone: grupowanie dla wygody
Czekanie, aby połączyć wiele podejrzewanych incydentów, czekanie na godziny pracy biura, gdy incydent wystąpił o 22:00, czekanie, aż skrystalizuje się strategia prasowa. Żadne z tych nie są powodami, które przetrwają audyt. 'Unverzüglich' toleruje weryfikację, a nie zwłokę dla własnej wygody podmiotu.
14:00: SOC wykrywa aktywność szyfrującą na serwerze plików
Wykrycie techniczne. Jeszcze nie powzięcie wiedzy w ujęciu prawnym, jeżeli SOC prowadzi dochodzenie. Podmiot jest świadom, lecz nie wyrobił sobie poglądu, że incydent jest istotny.
15:30: incydent potwierdzony jako ransomware, zakres częściowo jasny
Powzięcie wiedzy następuje teraz najpóźniej. Oba zegary ruszają. Zewnętrzna granica 24 godzin kończy się o 15:30 następnego dnia. Obowiązek 'bez zbędnej zwłoki' uruchamia się natychmiast.
16:45: wysłano wczesne ostrzeżenie
75 minut po potwierdzeniu. Możliwe do obrony 'bez zbędnej zwłoki', jeżeli podmiot wykorzystał ten czas na weryfikację i wewnętrzną eskalację do wyznaczonego oficera zgłaszającego. Zgłoszenie zawiera dwie obowiązkowe pozycje treści z art. 23(4)(a): podejrzewaną przyczynę złośliwą oraz ocenę wpływu transgranicznego.
Gdy BSI lub krajowy właściwy organ audytuje incydent z perspektywy czasu, dokumentem budzącym zainteresowanie jest własny dziennik osi czasu podmiotu. Oczekiwane są trzy kolumny: czas zdarzenia, co było wiadome w tym momencie, jakie działanie podjęto.
Audyt zadaje jedno pytanie: czy w każdym punkcie osi czasu kolejny krok był rozsądny wobec tego, co było wiadome. Czysty dziennik z zachowawczymi działaniami broni terminowości zgłoszenia. Ubogi dziennik zaprasza audytora do przyjęcia najgorszego.
- Dyrektywa (UE) 2022/2555 (NIS 2), art. 23(4)(a), motyw 102, www.eur-lex.europa.eu
- Ustawa o Federalnym Urzędzie ds. Bezpieczeństwa Informacji (BSIG), §32, www.gesetze-im-internet.de
- Bürgerliches Gesetzbuch (BGB), §121(1): definicja 'unverzüglich'
- ENISA Technical Implementation Guidance v1.0 (czerwiec 2025), §5 w sprawie dokumentowania osi czasu incydentu
Ta strona udostępnia ustrukturyzowane wytyczne oparte na publicznie dostępnych źródłach (Dyrektywa NIS 2, BSIG, BGB, ENISA TIG). Nie stanowi ona porady prawnej w rozumieniu §2 RDG. To, czy konkretna zwłoka jest 'zbędna' w danym przypadku, jest kwestią prawną dla dopuszczonego do wykonywania zawodu prawnika. Stan na 2026-06-04.