§ 30 BSIG · Art. 21 NIS 2

Dokumenty NIS2: jakiej dokumentacji potrzebuje Twoja firma

NIS2 wymaga dokumentowania środków bezpieczeństwa (§ 30(1), zdanie trzecie, BSIG). Ustawa wprost wymaga „koncepcji” (Konzepte) dla analizy ryzyka i bezpieczeństwa IT, sprawdzania skuteczności, kryptografii oraz personelu, dostępu i zarządzania IT. Dla reszty często wystarcza lista. Ustawa nie narzuca formatu.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Cory Hisey·Zuletzt geprüft 5. Oktober 2026

Czego wymaga ustawa

Podmioty kluczowe i ważne podejmują środki w dziesięciu obszarach (§ 30(2) BSIG). Zapisują, że to robią (§ 30(1), zdanie trzecie, BSIG).

Dla czterech obszarów ustawa wprost mówi o koncepcjach: analiza ryzyka i bezpieczeństwo IT (nr 1), ocena skuteczności (nr 6), kryptografia (nr 8) oraz personel, kontrola dostępu i zarządzanie IT (nr 9).

Ustawa nie określa, jak dokumenty wyglądają, jak są długie ani w jakim oprogramowaniu je prowadzisz. Zależą od ryzyka, wielkości i kosztów Twojej firmy (§ 30(1), zdanie drugie, BSIG).

§ 30(1) i (2) BSIG · Art. 21 NIS 2

Dokumenty w skrócie

Tych sześć dokumentów obejmuje obszary, w których spisany tekst ma sens. Kierownictwo zatwierdza każdy z nich.

Dokument	Co mówi	Przepis
Polityka bezpieczeństwa informacji§ 30(2) nr 1	Jak Twoja firma podchodzi do bezpieczeństwa informacji: cele, obowiązki, jak oceniane są ryzyka.	§ 30(2) nr 1
Plan reagowania na incydenty§ 30(2) nr 2	Kto decyduje w razie incydentu, do kogo dzwonisz, jak kontaktujecie się bez IT i jak zgłaszasz do BSI.	§ 30(2) nr 2
Plan ciągłości działania§ 30(2) nr 3	Co musi działać dalej, gdy IT zawiedzie, i jak przywracasz działalność.	§ 30(2) nr 3
Zasady zakupu, utrzymania i postępowania z podatnościami§ 30(2) nr 5	Na co zwracasz uwagę przy zakupie IT, jak instalowane są aktualizacje i gdzie inni mogą zgłaszać znalezione podatności.	§ 30(2) nr 5
Koncepcja kryptografii§ 30(2) nr 8	Gdzie i jak szyfrujesz, na przykład laptopy, pocztę e-mail i dostęp zdalny.	§ 30(2) nr 8
Koncepcja personelu, dostępu i zarządzania IT§ 30(2) nr 9	Kto dostaje jaki dostęp, jak nowe osoby go otrzymują, a odchodzące tracą, i jak zarządzasz swoim IT.	§ 30(2) nr 9

Gdzie wystarczy lista

Dla innych obszarów nie potrzebujesz ciągłego tekstu. Aktualizowana lista pokazuje, co robisz.

Lista	Co mówi	Przepis
Twoje aktywa§ 30(2) nr 1 i 9	Z czym pracuje Twoja firma: procesy, oprogramowanie, urządzenia, pomieszczenia, sieci oraz kto je dostarcza.	§ 30(2) nr 1 i 9
Twoi dostawcy§ 30(2) nr 4	Kto dla Ciebie pracuje i co uzgodniono z nimi w sprawie bezpieczeństwa.	§ 30(2) nr 4
Twoje kopie zapasowe§ 30(2) nr 3	Co jest kopiowane, czym i kiedy ostatnio testowano przywracanie.	§ 30(2) nr 3
Twoje szkolenia§ 30(2) nr 7 · § 38(3)	Kto i kiedy brał udział w jakim szkoleniu, pracownicy i kierownictwo.	§ 30(2) nr 7 · § 38(3)
Drugi składnik i zabezpieczona komunikacja§ 30(2) nr 10	Gdzie drugi składnik chroni logowanie i jakich kanałów używasz do zabezpieczonej komunikacji.	§ 30(2) nr 10
Przegląd zarządczy§ 30(2) nr 6 · § 38(1)	Kiedy kierownictwo sprawdziło, czy środki działają, co postanowiło i kto co robi do kiedy.	§ 30(2) nr 6 · § 38(1)

Więcej dla niektórych dostawców cyfrowych

Dostawcy tacy jak chmura, centra danych, usługi zarządzane i niektóre inne usługi cyfrowe podlegają też rozporządzeniu wykonawczemu (UE) 2024/2690. Jego załącznik opisuje wiele zapisów dokładniej.

Dla wszystkich innych firm ten załącznik nie jest wiążący. Może służyć jako wskazówka.

§ 30(3) BSIG · rozporządzenie wykonawcze (UE) 2024/2690

Kogo dotyczy rozporządzenie wykonawcze

Co to oznacza przy 50 do 150 pracownikach

Nie potrzebujesz zbioru wzorów na każdy szczegół. Jeden dokument na obszar, w którym potrzebny jest tekst, i aktualizowane listy dla reszty.

Ważniejsze od długości jest to, aby dokumenty pasowały do Twojej działalności i aby to, co mówią, rzeczywiście się działo.

Ustawa nie wymaga certyfikatu, takiego jak ISO 27001. Może on jednak wesprzeć Twoje dowody.

§ 30(1), zdanie drugie i trzecie, BSIG

Przykład

Fikcyjna firma: producent maszyn pakujących, 110 pracowników. Budowa maszyn jest wymieniona w załączniku 2 do BSIG, więc firma jest podmiotem ważnym.

Kierownik IT spisuje, z czym pracuje firma: ERP, oprogramowanie do projektowania, sterowanie produkcją, poczta e-mail, kopie zapasowe. Przy każdej pozycji, kto ją dostarcza.

Z jego odpowiedzi na temat dziesięciu obszarów powstaje sześć dokumentów. Plan reagowania na incydenty mówi, że decyduje prezes, a zgłasza osoba odpowiedzialna za IT.

Dostawców, kopie zapasowe i szkolenia firma prowadzi jako listy.

Prezes czyta dokumenty i je zatwierdza. Gdy dochodzi nowy usługodawca, dział IT dopisuje go do listy dostawców.

Jak robi to przewodnik

W przewodniku na nisd2.eu dokumenty powstają z Twoich odpowiedzi.

Z Twoich odpowiedzi powstaje sześć dokumentów: polityka bezpieczeństwa, plan reagowania na incydenty, plan ciągłości działania, koncepcja kryptografii, koncepcja personelu, dostępu i aktywów oraz zasady zakupu, utrzymania i postępowania z podatnościami.

Do każdego dokumentu możesz dodać własne postanowienia.

Tam, gdzie wystarczy lista, prowadzisz listę: Twoje IT, Twoi dostawcy, Twoje kopie zapasowe, Twoje szkolenia.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto. Imię, nazwisko i data pojawiają się potem na każdym dokumencie.

Eksport umieszcza wszystko w jednym dokumencie, który zapisujesz jako PDF w przeglądarce.

Napisz pierwszy dokument w przewodniku

Częste pytania

Jakich dokumentów wymaga NIS2?

BSIG wymaga dokumentowania wdrożenia środków (§ 30(1), zdanie trzecie). Wprost wymienia koncepcje dla analizy ryzyka i bezpieczeństwa IT, skuteczności, kryptografii oraz personelu, dostępu i zarządzania IT (§ 30(2) nr 1, 6, 8 i 9).

Czy jest określony format?

Nie. Ustawa nie określa ani formatu, ani długości. Dokumenty zależą od ryzyka, wielkości i kosztów Twojej firmy.

Czy dokumenty muszą być podpisane?

BSIG nie wymaga podpisu. Kierownictwo musi jednak wdrażać i nadzorować środki (§ 38(1) BSIG), a dyrektywa UE wymaga, aby je zatwierdziło (Art. 20(1) NIS 2). Zapisane zatwierdzenie przez kierownictwo jest więc oczywistym wyborem.

Czy potrzebujemy certyfikacji ISO 27001?

Ustawa jej nie wymaga. Certyfikat może wesprzeć Twoje dowody, ale nie obejmuje automatycznie BSIG.

Źródła

Ustawa o BSI (BSIG) §§ 30 i 38, gesetze-im-internet.de/bsig_2025
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 20 i 21, EUR-Lex
Rozporządzenie wykonawcze (UE) 2024/2690, Art. 1 i załącznik, EUR-Lex

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.