Nowy obowiązek bezpieczeństwa IT dla niemieckich firm
Jeżeli szukałeś 'IT Sicherheitspflicht', szukasz NIS2. Od grudnia 2025 r. znowelizowany BSIG czyni cyberbezpieczeństwo obowiązkiem prawnym dla około 29 500 niemieckich firm.
NIS2 to obowiązek bezpieczeństwa IT, o którym słyszysz
W Niemczech nie istnieje samodzielna 'ustawa o obowiązku bezpieczeństwa IT'. Istnieje dyrektywa NIS2 (EU 2022/2555), transponowana do prawa niemieckiego poprzez NIS2UmsuCG, która gruntownie zmieniła federalną ustawę o cyberbezpieczeństwie (BSIG). To prawo tworzy wiążące obowiązki bezpieczeństwa IT dla firm w sektorach wymienionych w załącznikach 1 i 2 BSIG.
BSIG wszedł w życie 6 grudnia 2025 r. Wymaga on od dotkniętych firm wdrożenia 10 konkretnych środków zarządzania ryzykiem w cyberbezpieczeństwie (Sekcja 30 BSIG), rejestracji w BSI, zgłaszania istotnych incydentów w ścisłych terminach oraz zabezpieczenia łańcuchów dostaw. Zgodnie z Sekcją 38 BSIG zarząd musi wdrażać środki i nadzorować je, a za szkodę wyrządzoną z winy odpowiada wobec spółki.
Jeżeli twoja firma zatrudnia 50 lub więcej pracowników albo przekracza 10 milionów euro zarówno rocznego obrotu, jak i sumy bilansowej, i działa w jednym z sektorów wymienionych w załącznikach 1 i 2 BSIG, te obowiązki dotyczą cię już teraz. Termin rejestracji przypadał na 6 marca 2026 r.
Sektor
Twoja firma oferuje towary lub usługi za wynagrodzeniem w jednym z sektorów wymienionych w załącznikach 1 i 2 BSIG: energetyka, transport, finanse, zdrowie, woda, infrastruktura cyfrowa (w tym zarządzane usługi IT i bezpieczeństwa), przestrzeń kosmiczna, usługi pocztowe i kurierskie, odpady, chemikalia, żywność, produkcja przemysłowa, usługi cyfrowe, badania.
Liczba pracowników
Zatrudniasz 50 lub więcej pracowników. Wynika to z unijnej definicji MŚP i obejmuje wszystkich pracowników w całej grupie, nie tylko podmiot niemiecki. Wyjątek: przedsiębiorstw partnerskich lub powiązanych nie dolicza się, jeśli Twoje IT działa niezależnie od ich systemów (§ 28 ust. 4 BSIG). Pracownicy w niepełnym wymiarze liczą się proporcjonalnie.
Roczny przychód
Twój roczny obrót przekracza 10 milionów euro ORAZ suma bilansowa przekracza 10 milionów euro. Jeżeli przekraczasz próg pracowników ALBO próg finansowy, jesteś objęty zakresem.
Usługi krytyczne
Niektóre podmioty są objęte zakresem niezależnie od wielkości: operatorzy obiektów krytycznych (KRITIS), dostawcy usług zaufania, rejestry nazw TLD i dostawcy usług DNS (§ 28 BSIG).
Zarejestruj się w BSI
Zarejestruj się w dwóch krokach: najpierw załóż konto w Mein Unternehmenskonto (mein-unternehmenskonto.de, wymaga certyfikatu organizacji ELSTER), potem zarejestruj się w portalu BSI (portal.bsi.bund.de). To obowiązek prawny na podstawie Sekcji 33 BSIG z własną karą do 500 000 euro. Portal działa od stycznia 2026 r., a termin przypadał na 6 marca 2026 r. Jeżeli go przekroczyłeś, zarejestruj się natychmiast.
Przeprowadź ocenę ryzyka
Zidentyfikuj swoje krytyczne zasoby IT, oceń ryzyka dla każdego z nich i udokumentuj decyzje dotyczące postępowania. Sekcja 30 BSIG wymaga środków zarządzania ryzykiem proporcjonalnych do ekspozycji na ryzyko. Potrzebujesz inwentaryzacji zasobów i ustrukturyzowanej oceny ryzyka, zanim będziesz mógł wdrożyć środki.
Wdróż 10 środków bezpieczeństwa
Sekcja 30 ust. 2 BSIG wymienia 10 obszarów: 1 analiza ryzyka i polityki bezpieczeństwa; 2 obsługa incydentów; 3 utrzymanie ciągłości działania (kopie zapasowe, odtwarzanie, zarządzanie kryzysowe); 4 bezpieczeństwo łańcucha dostaw; 5 bezpieczeństwo przy zakupie, rozwoju i utrzymaniu IT, w tym obsługa podatności; 6 sprawdzanie, czy środki działają; 7 podstawowe szkolenia i świadomość; 8 kryptografia; 9 bezpieczeństwo personelu, kontrola dostępu i zarządzanie zasobami; 10 uwierzytelnianie wieloskładnikowe i zabezpieczona komunikacja. Każdy obszar wymaga udokumentowanych polityk i dowodów wdrożenia.
Skonfiguruj zgłaszanie incydentów
Istotne incydenty cyberbezpieczeństwa muszą zostać zgłoszone do BSI w ciągu 24 godzin (wstępne wczesne ostrzeżenie), 72 godzin (pełne zgłoszenie) oraz 1 miesiąca (raport końcowy). Zdefiniuj, co istotny incydent oznacza dla twojej firmy, i ustanów jasny łańcuch zgłaszania, zanim coś się wydarzy.
Utrzymuj bieżącą zgodność
NIS2 to nie jest projekt jednorazowy. Aktualizuj ocenę ryzyka, gdy coś się zmienia, regularnie szkol zarząd (Sekcja 38 BSIG wymaga osobistego udziału; uzasadnienie ustawy rozumie „regularnie” jako co najmniej co trzy lata), przeglądaj dostawców i na bieżąco monitoruj incydenty.
Podmioty kluczowe mierzą się z grzywnami do 10 milionów euro lub 2% globalnego rocznego obrotu. Podmioty ważne mierzą się z grzywnami do 7 milionów euro lub 1,4%. Same naruszenia rejestracji niosą grzywny do 500 000 euro. BSI może nakazać zapewnienie zgodności (§§ 61, 62 BSIG). W przypadku szczególnie ważnych podmiotów, które ignorują jego nakazy, właściwy organ sektorowy może w ostateczności czasowo zawiesić licencję i czasowo odsunąć niewiarygodnych członków zarządu (§ 61 ust. 9 BSIG).
Poza grzywnami Sekcja 38 BSIG tworzy odpowiedzialność zarządu. Kadra kierownicza musi wdrażać środki cyberbezpieczeństwa, nadzorować wdrożenie i regularnie uczestniczyć w szkoleniach. Odpowiada wobec własnej spółki za szkodę wyrządzoną z winy, zgodnie z przepisami prawa spółek właściwymi dla jej formy prawnej.
Najczęściej zadawane pytania
Czy NIS2 to to samo, co obowiązek bezpieczeństwa IT, o którym ciągle słyszę?
Tak. Nie istnieje osobne prawo 'IT Sicherheitspflicht'. NIS2 to dyrektywa UE, która została transponowana do prawa niemieckiego jako znowelizowany BSIG poprzez NIS2UmsuCG. Gdy ludzie mówią o nowych obowiązkach bezpieczeństwa IT dla niemieckich firm, mają na myśli to prawo. Obowiązuje ono od 6 grudnia 2025 r.
Jesteśmy firmą produkcyjną zatrudniającą 60 osób. Czy to naprawdę nas dotyczy?
Bardzo prawdopodobnie tak. Produkcja przemysłowa jest wymieniona w Załączniku II NIS2 (obejmującym produkcję wyrobów medycznych, elektroniki, sprzętu elektrycznego, maszyn, pojazdów silnikowych oraz innego sprzętu transportowego). Przy 60 pracownikach przekraczasz próg 50 pracowników. Zostałbyś sklasyfikowany jako 'podmiot ważny' na podstawie Sekcji 28(2) BSIG i mają zastosowanie wszystkie obowiązki NIS2.
Termin rejestracji minął. Co powinniśmy zrobić?
Zarejestruj się natychmiast. Najpierw załóż konto w Mein Unternehmenskonto (mein-unternehmenskonto.de), potem zarejestruj się w portalu BSI (portal.bsi.bund.de), który wciąż przyjmuje rejestracje. Spóźniona rejestracja jest lepsza niż jej brak. Grzywna za brak rejestracji wynosi do 500 000 euro (§ 65 BSIG).
Czy nasz zewnętrzny dostawca IT może zająć się zgodnością z NIS2 za nas?
Może pomóc we wdrożeniu środków technicznych, lecz obowiązek prawny pozostaje przy twojej firmie, nawet jeśli twoje IT jest w pełni zlecone na zewnątrz. BSI mówi to w swoim FAQ do NIS-2: musisz dopilnować, by twoi dostawcy wdrażali środki, regularnie ich sprawdzać i dbać o zgłaszanie incydentów. Twój zarząd pozostaje odpowiedzialny na podstawie Sekcji 38 BSIG za wdrażanie środków i nadzór nad nimi. Musisz udokumentować, co robi twój dostawca IT, zweryfikować jego środki bezpieczeństwa i uwzględnić go w swoim procesie zarządzania dostawcami.
Ile kosztuje zgodność z NIS2 dla firmy średniej wielkości?
To zależy od tego, co już masz. Prawo wymaga środków dopasowanych do twojej wielkości i ryzyka, a koszt ich wdrożenia należy do czynników, które się waży (§ 30 ust. 1 BSIG).
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
