§ 32 BSIG: obowiązek zgłaszania poważnych incydentów bezpieczeństwa
§ 32 BSIG zobowiązuje podmioty kluczowe i ważne do zgłaszania poważnych incydentów bezpieczeństwa: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe miesiąc po zgłoszeniu. Terminy biegną od chwili, gdy dowiadujesz się o incydencie. Zgłaszasz w portalu BSI.
Trzy zgłoszenia
Zgłoszenia trafiają do wspólnego punktu zgłoszeń BSI i Federalnego Urzędu Ochrony Ludności i Pomocy w Katastrofach (BBK).
Wczesne ostrzeżenie
Czy istnieje podejrzenie, że incydent wynika z działania bezprawnego lub złośliwego, i czy może mieć skutki w innych państwach. Niemiecka ustawa nazywa to „frühe Erstmeldung”.
§ 32(1) nr 1
Zgłoszenie incydentu
Potwierdza lub aktualizuje wczesne ostrzeżenie. Do tego pierwsza ocena powagi i skutków oraz, jeśli są dostępne, ślady wskazujące na atakujących (wskaźniki naruszenia).
§ 32(1) nr 2
Sprawozdanie końcowe
Miesiąc po zgłoszeniu: co się stało, jak poważne to było, prawdopodobna przyczyna, co już zrobiono i co nadal robisz oraz czy dotyczy to innych państw.
§ 32(1) nr 4
Jeśli BSI o to poprosi, w międzyczasie wysyłasz sprawozdanie pośrednie (nr 3). Jeśli po miesiącu incydent nadal trwa, zamiast sprawozdania końcowego wysyłasz sprawozdanie z postępów, a sprawozdanie końcowe, gdy incydent zostanie opanowany (ust. 2).
Obowiązek zgłaszania krok po krokuKiedy incydent jest poważny
Poważny jest incydent bezpieczeństwa, który spowodował lub może spowodować poważne zakłócenia Twojej działalności albo straty finansowe dla Twojej firmy. Albo taki, który wyrządził lub może wyrządzić innym znaczne szkody majątkowe lub niemajątkowe.
Dla niektórych dostawców cyfrowych, na przykład chmury, centrów danych i usług zarządzanych, rozporządzenie wykonawcze (UE) 2024/2690 określa dokładniejsze progi. Dla wszystkich pozostałych nie ma stałych liczb. Decydujesz na podstawie tych dwóch kryteriów i zapisujesz dlaczego.
§ 2 nr 11 BSIG · Art. 23(3) NIS 2
Od kiedy biegnie czas i gdzie zgłaszasz
Terminy biegną od powzięcia wiadomości, nie dopiero wtedy, gdy wszystko jest wyjaśnione. BSI rozumie przez to chwilę, w której ktoś w firmie dowiaduje się o incydencie w godzinach pracy.
Zgłaszasz w portalu BSI, z tym samym dostępem co przy rejestracji. Jeśli Twoja firma nie jest jeszcze zarejestrowana, zgłaszasz przez formularz online w portalu zgłoszeń i informacji BSI (MIP).
Jeśli dotyczy to danych osobowych, zwykle zgłaszasz to dodatkowo do organu ochrony danych: bez zbędnej zwłoki i w miarę możliwości w ciągu 72 godzin, chyba że naruszenie prawdopodobnie nie powoduje ryzyka dla osób, których dotyczy (Art. 33 RODO). Jedno zgłoszenie nie zastępuje drugiego.
§ 32(1) BSIG · Art. 33 RODO
Co jeszcze reguluje ten paragraf
Ustęp 3: operatorzy instalacji krytycznych podają dodatkowo, której instalacji dotyczy incydent i co oznacza on dla ich usługi krytycznej.
Ustęp 4: BSI określa szczegóły procedury i treści i publikuje je na swojej stronie internetowej.
Ustęp 5: BSI przekazuje zgłoszenia właściwym federalnym organom nadzoru.
Ustęp 6: BSI może zaoferować Ci wsparcie w opanowaniu incydentu.
Co to oznacza przy 50 do 150 pracownikach
Ustal z góry, kto ocenia, czy incydent jest poważny, i kto zgłasza. W sytuacji awaryjnej zostaje na to mało czasu.
Sprawdź, czy ta osoba może dziś zalogować się do portalu BSI i kto ją zastępuje. Jeśli dostęp ma tylko jedna osoba, 24 godziny szybko stają się krótkie.
Przykład
Fikcyjna firma: hurtownia żywności, 95 pracowników. Piątek, 16:00: przestaje działać oprogramowanie magazynu i nie można załadować ciężarówek.
16:30: dział IT stwierdza, że serwery są zaszyfrowane. Od teraz biegnie termin.
17:00: zgodnie z planem reagowania na incydenty decyduje prezes. Uznaje incydent za poważny, ponieważ działalność jest poważnie zakłócona.
20:00: wczesne ostrzeżenie w portalu BSI. Mówi, że podejrzewany jest atak i że może to dotyczyć klientów w Austrii. Termin upływałby w sobotę o 16:30.
Najpóźniej w poniedziałek o 16:30: zgłoszenie incydentu z pierwszą oceną powagi i skutków.
Miesiąc po tym zgłoszeniu: sprawozdanie końcowe albo sprawozdanie z postępów, jeśli incydent nadal trwa. Równolegle firma sprawdza, czy dotyczy to danych osobowych.
Jak robi to przewodnik
Dwa kroki w przewodniku na nisd2.eu przygotowują Cię do zgłoszenia.
„Zaplanuj, co się dzieje przy incydencie”: z Twoich odpowiedzi powstaje plan reagowania na incydenty. Mówi, kto decyduje i jak zgłaszasz.
„Wiedz, jak zgłosić incydent”: krok pokazuje trzy terminy i przykład wczesnego ostrzeżenia.
Zapisujesz, czy możesz zalogować się do portalu BSI i dokonać zgłoszenia.
Na końcu kierownictwo zatwierdza plan reagowania na incydenty w aplikacji.
Częste pytania
Od kiedy biegnie termin 24 godzin?
Od chwili, gdy Twoja firma dowiaduje się o poważnym incydencie, a nie od jego początku. BSI rozumie przez to chwilę, w której ktoś w firmie dowiaduje się o nim w godzinach pracy.
Co musi zawierać wczesne ostrzeżenie?
Ustawa wymaga dwóch informacji: czy może za tym stać atak lub inne działanie bezprawne i czy incydent może dotyczyć innych państw (§ 32(1) nr 1 BSIG). Czego jeszcze nie wiesz, uzupełniasz w zgłoszeniu po 72 godzinach.
Czy istnieją stałe progi dla poważnego incydentu?
Tylko dla dostawców cyfrowych wymienionych w rozporządzeniu wykonawczym (UE) 2024/2690. Dla wszystkich pozostałych obowiązują kryteria z § 2 nr 11 BSIG: poważne zakłócenie działalności, strata finansowa lub znaczna szkoda dla innych.
Czy muszę zgłaszać także na podstawie RODO?
Jeśli dotyczy to danych osobowych, zwykle tak: do organu ochrony danych, w miarę możliwości w ciągu 72 godzin (Art. 33 RODO). Zgłoszenie do BSI go nie zastępuje.
Gdzie zgłaszam?
W portalu BSI, z dostępem z rejestracji. Jeśli Twoja firma nie jest jeszcze zarejestrowana, korzystasz z formularza online w portalu zgłoszeń i informacji BSI.
Źródła
- Ustawa o BSI (BSIG) § 2 nr 11 i § 32, gesetze-im-internet.de/bsig_2025
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 23, EUR-Lex
- Rozporządzenie wykonawcze (UE) 2024/2690, EUR-Lex
- BSI: pakiet informacyjny o obowiązku zgłaszania NIS 2 i instrukcja zgłaszania w portalu BSI, bsi.bund.de
- Rozporządzenie (UE) 2016/679 (RODO), Art. 33
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
