NIS2 w Niemczech: czego wymaga ustawa o BSI i od kiedy
Niemcy przeniosły NIS2 do swojego prawa ustawą NIS2UmsuCG. Obowiązki są w nowej ustawie o BSI (BSIG) i obowiązują od 6 grudnia 2025 r. Objęte firmy rejestrują się w BSI, podejmują środki bezpieczeństwa i zgłaszają poważne incydenty. Ich kierownictwo wdraża środki i je nadzoruje.
Ustawa
Ustawa o wdrożeniu NIS 2 i wzmocnieniu cyberbezpieczeństwa (NIS2UmsuCG) napisała ustawę o BSI na nowo. Weszła w życie 6 grudnia 2025 r.
Obowiązki obowiązują od tego dnia. Tylko dowody dla BSI mają późniejsze daty.
Właściwym organem jest Federalny Urząd Bezpieczeństwa Informacji (BSI).
BGBl. 2025 I nr 301
Najważniejsze daty
27 grudnia 2022 r.
Dyrektywa (UE) 2022/2555 zostaje opublikowana w Dzienniku Urzędowym UE.
16 stycznia 2023 r.
Dyrektywa wchodzi w życie.
17 października 2024 r.
Unijny termin transpozycji. Niemcy go nie dotrzymały.
6 grudnia 2025 r.
Nowa BSIG wchodzi w życie. Obowiązki obowiązują od razu.
Styczeń 2026 r.
BSI otwiera swój portal do rejestracji.
6 marca 2026 r.
Termin rejestracji dla firm objętych od grudnia 2025 r.
6 grudnia 2028 r.
Najwcześniej od tej daty BSI może żądać dowodów od podmiotów kluczowych.
Kto jest objęty
Firma jest objęta, jeśli działa w sektorze wymienionym w załączniku 1 lub 2 do BSIG i jest wystarczająco duża.
Taka firma jest podmiotem ważnym, jeśli ma co najmniej 50 pracowników albo roczny obrót i sumę bilansową, każde powyżej 10 mln EUR.
Firma z sektora z załącznika 1 jest podmiotem kluczowym, jeśli ma co najmniej 250 pracowników albo ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej. Podmiotami kluczowymi są też operatorzy instalacji krytycznych oraz niektórzy dostawcy bez względu na wielkość, na przykład kwalifikowani dostawcy usług zaufania.
Dyrektywa UE mówi „podmiot kluczowy”, BSIG „besonders wichtige Einrichtung” (podmiot szczególnie ważny). Oba określenia oznaczają tę samą grupę.
BSI oferuje sprawdzenie objęcia przepisami. Według BSI jego wynik nie jest prawnie wiążący.
§ 28 BSIG · załączniki 1 i 2
Cztery obowiązki
Rejestracja w BSI
Najpóźniej trzy miesiące po tym, jak Twoja firma została objęta przepisami, przez portal BSI. Jeśli coś się zmieni, aktualizujesz dane w ciągu dwóch tygodni.
§ 33 BSIG
Więcej na ten tematPodjęcie środków bezpieczeństwa
Środki w dziesięciu obszarach, od planu reagowania na incydenty po drugi składnik, tak dokładne, jak wymagają tego wielkość i ryzyko Twojej firmy. To, co wdrażasz, zapisujesz.
§ 30 BSIG
Więcej na ten tematZgłaszanie poważnych incydentów
W trzech etapach do wspólnego punktu zgłoszeń BSI i Federalnego Urzędu Ochrony Ludności i Pomocy w Katastrofach, pierwsze w ciągu 24 godzin.
§ 32 BSIG
Więcej na ten tematKierownictwo
Wdraża środki, nadzoruje ich wdrożenie i regularnie bierze udział w szkoleniach.
§ 38 BSIG
Więcej na ten tematJak BSI sprawdza
BSI może kontrolować podmioty kluczowe, także z pomocą osób trzecich, i zlecać audyty. Dowodów może żądać najwcześniej od 6 grudnia 2028 r.
Podmioty ważne kontroluje tylko wtedy, gdy fakty wskazują, że nie przestrzegają § 30, § 32 lub § 38(3) BSIG.
Kary pieniężne określa § 65 BSIG. Za naruszenia dotyczące środków i obowiązku zgłaszania górna granica wynosi 10 mln EUR dla podmiotów kluczowych i 7 mln EUR dla podmiotów ważnych.
§§ 61, 62, 65 BSIG
Kary pieniężne w szczegółachCo to oznacza przy 50 do 150 pracownikach
W sektorze z załącznika 1 lub 2 taka firma jest zwykle podmiotem ważnym.
Cztery obowiązki są takie same dla podmiotów ważnych i kluczowych. Różni się nadzór: BSI kontroluje podmioty ważne tylko wtedy, gdy są przesłanki naruszenia.
Jak dokładny musi być każdy środek, zależy od ryzyka, wielkości i kosztów. Firma z 80 pracownikami nie musi budować tego, czego potrzebuje duży koncern.
§ 30(1), zdanie drugie, BSIG
Przykład
Fikcyjna firma: przedsiębiorstwo gospodarki odpadami, 75 pracowników.
Gospodarka odpadami jest wymieniona w załączniku 2 do BSIG. Przy 75 pracownikach firma jest podmiotem ważnym.
Ma już certyfikat organizacji ELSTER do spraw podatkowych. Używa go, aby zalogować się do portalu BSI i zarejestrować.
Spisuje, z czym pracuje: planowanie tras, wagi samochodowe, rozliczenia, lokalizacja pojazdów. Z tego wynikają środki.
Plan reagowania na incydenty mówi, kto zgłasza incydent. Prezes bierze udział w szkoleniu i zatwierdza dokumenty.
Jak robi to przewodnik
Przewodnik na nisd2.eu prowadzi Cię krok po kroku przez obowiązki z BSIG.
20 kroków. Operatorzy instalacji krytycznych mają jeden krok więcej.
Obok każdego kroku jest przepis, wyjaśniony prostymi słowami.
Rejestracja, środki, zgłaszanie i szkolenie kierownictwa są osobnymi krokami.
Z Twoich odpowiedzi powstaje sześć dokumentów, w tym polityka bezpieczeństwa i oba plany awaryjne.
Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto. Imię, nazwisko i data pojawiają się potem na każdym dokumencie.
Częste pytania
Od kiedy NIS2 obowiązuje w Niemczech?
Od 6 grudnia 2025 r. Tego dnia weszła w życie nowa ustawa o BSI.
Jak nazywa się niemiecka ustawa NIS2?
Ustawa o wdrożeniu NIS 2 i wzmocnieniu cyberbezpieczeństwa, w skrócie NIS2UmsuCG. Przede wszystkim napisała na nowo ustawę o BSI (BSIG). Tam są obowiązki firm, na przykład w §§ 30, 32, 33 i 38.
Czy każda objęta firma musi zarejestrować się w BSI?
Tak, każdy podmiot kluczowy i każdy podmiot ważny, najpóźniej trzy miesiące po objęciu przepisami (§ 33(1) BSIG). Obowiązek istnieje bez wezwania ze strony BSI.
Kto sprawdza wdrożenie?
BSI. Może kontrolować podmioty kluczowe, a podmioty ważne tylko wtedy, gdy są przesłanki naruszenia (§§ 61 i 62 BSIG).
Źródła
- Ustawa o BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 oraz załączniki 1 i 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I nr 301
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 41 i 45, EUR-Lex
- BSI: sprawdzenie objęcia NIS 2, betroffenheitspruefung-nis-2.bsi.de
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
