Rozporządzenie wykonawcze (UE) 2024/2690

Rozporządzenie wykonawcze (UE) 2024/2690 (CIR): kogo wiąże i czego wymaga

Rozporządzenie wykonawcze Komisji (UE) 2024/2690, w skrócie CIR, szczegółowo określa, jak niektórzy dostawcy cyfrowi wdrażają dziesięć środków bezpieczeństwa NIS2 i kiedy incydent u nich jest poważny. Obowiązuje bezpośrednio w każdym państwie UE, ale tylko dla jedenastu rodzajów dostawców, na przykład chmury, centrów danych i usług zarządzanych. Dla każdej innej firmy nie jest miarą, tylko możliwym punktem odniesienia.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Kogo wiąże rozporządzenie

Artykuł 1 wymienia jedenaście rodzajów podmiotów. Rozporządzenie nazywa je „podmiotami właściwymi”.

Art. 1 i 16 rozporządzenia wykonawczego (UE) 2024/2690

Dostawcy usług DNS
Rejestry nazw TLD
Dostawcy usług chmurowych
Dostawcy usług centrów danych
Dostawcy sieci dostarczania treści
Dostawcy usług zarządzanych
Dostawcy usług zarządzanych w zakresie bezpieczeństwa
Dostawcy internetowych platform handlowych
Dostawcy wyszukiwarek internetowych
Dostawcy platform usług sieci społecznościowych
Dostawcy usług zaufania

Jest to rozporządzenie, a nie dyrektywa. Dlatego obowiązuje w każdym państwie UE bez ustawy krajowej. Zostało opublikowane w Dzienniku Urzędowym 18 października 2024 r. i weszło w życie 20 dni później.

O tym, czy taki dostawca w ogóle podlega NIS2, decydują dyrektywa i ustawa krajowa, w Niemczech § 28 BSIG. Rozporządzenie mówi tylko, jak dokładnie wdraża on środki.

Czego wymaga załącznik

Załącznik ma 13 sekcji. Każda należy do jednej litery Art. 21(2) NIS 2 i ma ponumerowane pojedyncze wymagania.

Nr 1

Polityka bezpieczeństwa sieci i systemów informatycznych

Dokument polityki, który kierownictwo przegląda co najmniej raz w roku, oraz jasne role i obowiązki.

Nr 2

Polityka zarządzania ryzykiem

Identyfikować, oceniać i postępować z ryzykami. Wyniki są przeglądane co najmniej raz w roku.

Nr 3

Obsługa incydentów

Wykrywać, rejestrować, klasyfikować, obsługiwać i analizować incydenty.

Nr 4

Ciągłość działania i zarządzanie kryzysowe

Plany awaryjne, kopie zapasowe i redundancja, zarządzanie kryzysowe.

Nr 5

Bezpieczeństwo łańcucha dostaw

Polityka dotycząca relacji z bezpośrednimi dostawcami i rejestr tych dostawców.

Nr 6

Nabywanie, rozwój i utrzymanie

Bezpieczeństwo przy zakupie i rozwoju systemów, zmiany, testy, aktualizacje i postępowanie z podatnościami.

Nr 7

Ocena skuteczności

Ustalić, jak sprawdzać, czy środki działają.

Nr 8

Cyberhigiena i szkolenia

Podstawowe zasady dla wszystkich, świadomość i szkolenia, także dla kierownictwa.

Nr 9

Kryptografia

Polityka szyfrowania wraz z zarządzaniem kluczami.

Nr 10

Bezpieczeństwo zasobów ludzkich

Obowiązki, w stosownych przypadkach weryfikacja oraz procedury przy odejściu i zmianie roli.

Nr 11

Kontrola dostępu

Uprawnienia dostępu, konta uprzywilejowane, identyfikacja, uwierzytelnianie i, tam gdzie jest to właściwe, wiele składników (nr 11.7).

Nr 12

Zarządzanie aktywami

Wykaz systemów i aktywów, ich klasyfikacja i postępowanie z nimi.

Nr 13

Bezpieczeństwo środowiskowe i fizyczne

Ochrona przed utratą zasilania, pożarem i wodą, kontrolowany dostęp fizyczny.

Tu również obowiązuje proporcjonalność: liczą się ryzyko, wielkość oraz prawdopodobieństwo i powaga incydentów (Art. 2(2)). Jeśli załącznik mówi „w stosownych przypadkach”, a dostawca nie stosuje danego wymagania, dokumentuje w zrozumiały sposób dlaczego.

Kiedy incydent jest poważny

Dla podmiotów właściwych rozporządzenie określa, kiedy incydent jest poważny i dlatego musi zostać zgłoszony. Artykuł 3 dotyczy wszystkich: na przykład bezpośrednia strata finansowa powyżej 500 000 EUR lub 5 procent rocznego obrotu, w zależności od tego, która kwota jest niższa, wyprowadzenie tajemnic handlowych albo udany, podejrzewany o złośliwy charakter dostęp, który może spowodować poważne zakłócenie działalności.

Jeśli w ciągu sześciu miesięcy wystąpią co najmniej dwa incydenty o tej samej widocznej przyczynie i razem osiągną próg straty finansowej, liczą się łącznie jako poważne (artykuł 4).

Artykuły 5 do 14 określają progi dla poszczególnych rodzajów dostawców. Jeden przykład: usługa chmurowa całkowicie niedostępna przez ponad 30 minut (artykuł 7). Planowana konserwacja się nie liczy.

Art. 3 do 14 rozporządzenia wykonawczego (UE) 2024/2690 · Art. 23(3) NIS 2

Jak ma się do niemieckiej BSIG

Dla jedenastu rodzajów dostawców rozporządzenie ma pierwszeństwo przed środkami z § 30 BSIG (§ 30(3) BSIG).

Nie dotyczy żadnej innej firmy. Jej środki mierzy się według § 30 BSIG. Komisja nie przyjęła jeszcze aktu wykonawczego dla wszystkich podmiotów (§ 30(4) BSIG).

Według § 44(2) BSIG IT-Grundschutz BSI uznaje się za spełnienie § 30 tylko w przypadku organów administracji federalnej. Dla firm może porządkować pracę, ale nie jest dowodem uznanym przez ustawę.

§ 30(3) i (4) · § 44(2) BSIG

Co to oznacza przy 50 do 150 pracownikach

Większość firm tej wielkości, na przykład producenci, firmy spożywcze czy przedsiębiorstwa gospodarki odpadami, nie należy do żadnego z jedenastu rodzajów. Rozporządzenie ich nie wiąże. Swoje środki mierzą według § 30 BSIG.

Możesz czytać rozporządzenie jako punkt odniesienia, jeśli chcesz zobaczyć, jak środek wygląda w szczegółach. Nie jest to obowiązek.

Jeśli jednak Twoja firma jest usługodawcą IT, który prowadzi systemy klientów lub nimi zarządza, może być dostawcą usług zarządzanych. Wtedy rozporządzenie dotyczy jej bezpośrednio.

Przykład

Dwie fikcyjne firmy, każda z 90 pracownikami.

Producent maszyn pakujących: budowa maszyn jest wymieniona w załączniku 2 do BSIG, więc firma jest podmiotem ważnym. Rozporządzenie jej nie wiąże. Swoją politykę bezpieczeństwa przegląda w odstępie, który sama ustala.

Usługodawca IT, który prowadzi serwery, sieci i stanowiska pracy dla 200 klientów: jest dostawcą usług zarządzanych. Rozporządzenie dotyczy go bezpośrednio.

Dla usługodawcy IT oznacza to między innymi: kierownictwo przegląda politykę bezpieczeństwa co najmniej raz w roku, ocena ryzyka jest przeglądana co najmniej raz w roku, a dostęp do jego systemów odbywa się, tam gdzie jest to właściwe, z wieloma składnikami.

Jeśli ma incydent, przed decyzją o zgłoszeniu sprawdza progi z artykułów 3 i 10 rozporządzenia.

Jak robi to przewodnik

Przewodnik na nisd2.eu obejmuje to, czego BSIG wymaga od każdego podmiotu, i zna dostawców, których dotyczy rozporządzenie.

Każdy z dziesięciu obszarów z § 30(2) BSIG staje się co najmniej jednym krokiem, który wypełniasz.

Krok polityki bezpieczeństwa mówi, że u dostawców, których dotyczy rozporządzenie, polityka jest przeglądana co najmniej raz w roku.

Jeśli Twoja firma jest zapisana w infrastrukturze cyfrowej, zarządzaniu usługami ICT lub wśród dostawców cyfrowych, każde wymaganie pozostaje dla Ciebie otwarte ze szczegółami rozporządzenia, nawet gdy przewodnik wykonał już część, którą jest winien każdy podmiot.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.

Zacznij od polityki bezpieczeństwa w przewodniku

Częste pytania

Czym jest CIR 2024/2690?

Rozporządzeniem wykonawczym Komisji (UE) 2024/2690 z 17 października 2024 r. Dla jedenastu rodzajów dostawców cyfrowych określa wymagania techniczne i metodyczne środków z Art. 21(2) NIS 2 oraz precyzuje, kiedy incydent u nich jest poważny.

Czy rozporządzenie dotyczy mojej firmy?

Tylko jeśli jest jednym z jedenastu rodzajów z artykułu 1, na przykład chmura, centrum danych lub usługi zarządzane, i podlega NIS2 według ustawy krajowej. Nikogo innego nie dotyczy.

Czy rozporządzenie trzeba przenieść do prawa krajowego?

Nie. Jako rozporządzenie obowiązuje bezpośrednio w każdym państwie UE. W Niemczech BSIG przyznaje mu pierwszeństwo dla właściwych dostawców (§ 30(3) BSIG).

Ile sekcji ma załącznik?

13. Odpowiadają literom a do j Art. 21(2) NIS 2. Kontrola dostępu (nr 11) obejmuje na przykład uwierzytelnianie wieloskładnikowe (nr 11.7).

Czy certyfikat ISO 27001 wystarczy?

Rozporządzenie opiera się między innymi na ISO/IEC 27001 i 27002 (motywy). Certyfikat nie zastępuje jednak jego wymagań. Sprawdź każde wymaganie załącznika osobno.

Źródła

Rozporządzenie wykonawcze Komisji (UE) 2024/2690 z 17 października 2024 r., Dz.U. L, 2024/2690, 18 października 2024 r., EUR-Lex
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 21 i 23, EUR-Lex
Ustawa o BSI (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.