Samoklasyfikacja w świetle NIS 2: milczenie BSI nie jest obroną
Większość zespołów Mittelstandu czeka na pismo, które nigdy nie nadejdzie. NIS 2 nakłada na ciebie obowiązek ustalenia, czy jesteś w zakresie, a zegar biegnie niezależnie od tego, czy sprawdzasz, czy nie.
Najdroższe nieporozumienie
Wiele podmiotów Mittelstandu traktuje brak pisma od BSI jako dowód, że nie są w zakresie NIS 2. Mylą się. Dyrektywa i §33 BSIG nakładają obowiązek rejestracji na podmiot, a nie na organ.
Mechanizm jest prosty. Art. 27(1) NIS 2 zobowiązuje państwa członkowskie do utworzenia rejestru podmiotów kluczowych i ważnych. §33(1) BSIG to transponuje: podmioty rejestrują się w ciągu trzech miesięcy od spełnienia warunków. Termin rusza, gdy spełniasz kryteria, a nie gdy ktoś ci o tym powie.
W praktyce oznacza to, że 70-osobowa firma gospodarki odpadami z Załącznika II może po cichu być w zakresie przez ponad rok, kumulując grzywny na podstawie §65 BSIG oraz osobistą odpowiedzialność na podstawie §38 BSIG, dopóki ktoś w końcu nie sprawdzi Załącznika.
Art. 27(1) NIS 2 (obowiązek rejestru)
Member States shall require essential and important entities to submit at least the following information to the competent authorities: name; address; up-to-date contact details; sector and subsector; list of Member States where they provide services.
Obowiązek biegnie od podmiotu do organu, a nie odwrotnie. W NIS 2 nie ma przepisu, który wymagałby, aby organ najpierw zidentyfikował podmioty objęte zakresem.
§33(1) BSIG (3-miesięczny termin)
Wesentliche und wichtige Einrichtungen registrieren sich innerhalb von drei Monaten nach erstmaligem Eintritt der Voraussetzungen beim Bundesamt.
Trzy miesiące od chwili, gdy podmiot po raz pierwszy spełnia warunki. Nie ma okresu oczekiwania na pismo od BSI. Zegar biegnie według własnego kalendarza podmiotu.
Art. 2 + Załącznik I/II NIS 2 (sektor + wielkość)
This Directive applies to public or private entities of a type referred to in Annex I or II which qualify as medium-sized enterprises under Article 2 of the Annex to Recommendation 2003/361/EC, or which exceed the ceilings for medium-sized enterprises.
Dwa pytania decydują o objęciu zakresem: czy jesteś typem z Załącznika I lub II oraz czy jesteś co najmniej średniej wielkości (50+ pracowników i albo >10 mln EUR obrotu, albo >10 mln EUR sumy bilansowej). Plus nadrzędne wyłączenia 'niezależnie od wielkości' dla usług zaufania, DNS, rejestrów TLD, administracji publicznej, jedynych dostawców w państwie członkowskim.
Sprawdź Załącznik I i II względem swojej działalności
Załącznik I to podmioty kluczowe (energetyka, transport, bankowość, rynek finansowy, ochrona zdrowia, woda pitna, ścieki, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przestrzeń kosmiczna). Załącznik II to podmioty ważne (usługi pocztowe, odpady, chemikalia, żywność, produkcja przemysłowa, dostawcy cyfrowi, badania naukowe). Dopasuj według rzeczywistej działalności, a nie według formy prawnej.
Sprawdź wielkość względem unijnej definicji MŚP
Średni: 50 do 249 pracowników ORAZ (obrót lub suma bilansowa powyżej 10 mln EUR). Duży: 250+ pracowników LUB obrót powyżej 50 mln EUR LUB suma bilansowa powyżej 43 mln EUR. Stosuj Zalecenie 2003/361/WE dosłownie, licz przedsiębiorstwa powiązane i partnerskie zgodnie z zasadami zalecenia.
Sprawdź wyłączenia obowiązujące niezależnie od wielkości
Jedyny dostawca usługi w państwie członkowskim, administracje publiczne szczebla centralnego, dostawcy usług DNS, rejestry nazw TLD, kwalifikowani dostawcy usług zaufania są objęci zakresem niezależnie od wielkości. Zapamiętaj: jeżeli jesteś którymś z tych, próg wielkości nie ma zastosowania.
Grzywna administracyjna na podstawie §65 BSIG
Do 10 milionów euro lub 2 procent rocznego obrotu światowego, w zależności od tego, która kwota jest wyższa, dla podmiotów kluczowych. Do 7 milionów euro lub 1,4 procent dla podmiotów ważnych. Grzywna przypisuje się podmiotowi. Naruszeniem nie jest sama zwłoka w rejestracji; jest nim leżąca u podstaw niezgodność z obowiązkami z art. 21 i art. 23, która narosła w okresie milczenia.
Osobista odpowiedzialność organu zarządzającego na podstawie §38 BSIG
Art. 20(1) NIS 2 transponowany do §38 BSIG czyni organ zarządzający odpowiedzialnym za zatwierdzanie i nadzorowanie środków zarządzania ryzykiem. Spóźnione wykrycie nie jest obroną; organ powinien był zapewnić przeprowadzenie klasyfikacji.
Eskalacja uprawnień nadzorczych
Art. 32 NIS 2 pozwala właściwemu organowi nakładać obowiązki, żądać audytów, a w najgorszym przypadku zawiesić działalność. Spóźnieni nowo objęci zwykle przyciągają więcej nadzoru, ponieważ organ musi zweryfikować nadrabianie zaległości.
Przeprowadź sprawdzenie zastosowania już dziś
Odnieś swoją działalność do Załącznika I lub II, policz pracowników i przychód, przejdź przez wyłączenia obowiązujące niezależnie od wielkości. Udokumentuj wynik, nawet jeżeli jest negatywny. Pisemna analiza 'poza zakresem' jest jedyną obroną w późniejszym sporze.
Jeżeli w zakresie, zarejestruj się w ciągu trzech miesięcy
Za pośrednictwem portalu BSI na podstawie §33 BSIG. Wymaga certyfikatu organizacyjnego ELSTER, którego uzyskanie samo zajmuje od dwóch do trzech tygodni. Najpierw rozpocznij wniosek o ELSTER, jeżeli termin rejestracji jest napięty.
Powtarzaj sprawdzenie co roku
Załączniki mogą zostać zmienione (przegląd z art. 6 NIS 2). Twoja liczba pracowników i obrót się zmieniają. Stanowisko 'poza zakresem' się dezaktualizuje. Zaplanuj coroczne ponowne sprawdzenie.
- Dyrektywa (UE) 2022/2555 (NIS 2), art. 2, art. 3, Załącznik I, Załącznik II, art. 27, www.eur-lex.europa.eu
- Ustawa o Federalnym Urzędzie ds. Bezpieczeństwa Informacji (BSIG), §33, §38, §65, www.gesetze-im-internet.de
- Zalecenie Komisji 2003/361/WE dotyczące definicji mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, www.eur-lex.europa.eu
- Ustawa wdrażająca NIS-2 i wzmacniająca cyberbezpieczeństwo (NIS2UmsuCG)
Ta strona udostępnia ustrukturyzowane wytyczne oparte na publicznie dostępnych źródłach (Dyrektywa NIS 2, BSIG, unijne zalecenie w sprawie MŚP). Nie stanowi ona porady prawnej w rozumieniu §2 RDG. W konkretnych przypadkach skonsultuj się z dopuszczonym do wykonywania zawodu prawnikiem. Stan na 2026-06-04.