Średnie firmy

Wdrożenie NIS2: jak średnia firma może się do tego zabrać

Rejestrujesz firmę w BSI, wdrażasz środki bezpieczeństwa w dziesięciu obszarach i zgłaszasz poważne incydenty. Kierownictwo to nadzoruje. To, jak dokładny musi być każdy środek, zależy od wielkości Twojej firmy i ryzyka.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Laufend geprüft

Programy i członkostwa

Cztery obowiązki

NIS 2 to dyrektywa UE. W Niemczech wprowadza ją do prawa ustawa o BSI (BSIG). Firma, której ona dotyczy, nazywa się tam „podmiotem”. Każdy podmiot ma cztery obowiązki.

Rejestracja

Rejestrujesz swoją firmę jednorazowo w BSI, przez jego portal.

Przepis: Art. 3(4) NIS 2 · § 33 BSIG
Kto: Osoba, która zarządza kontem firmy w ELSTER

Więcej na ten temat

Wdrożenie i spisanie środków

Chronisz swoje IT w dziesięciu obszarach, od planu reagowania na incydenty po logowanie z drugim składnikiem. Swoje decyzje zapisujesz.

Przepis: Art. 21 NIS 2 · § 30 BSIG
Kto: Osoba odpowiedzialna za IT, w firmie lub u usługodawcy

Więcej na ten temat

Zgłaszanie poważnych incydentów

Poważny incydent bezpieczeństwa zgłaszasz do BSI, pierwsze zgłoszenie w ciągu 24 godzin. Incydent jest poważny na przykład wtedy, gdy mocno zakłóca działalność Twojej firmy.

Przepis: Art. 23 NIS 2 · § 32 BSIG
Kto: Osoba, która decyduje w sytuacji awaryjnej

Więcej na ten temat

Kierownictwo prowadzi

Kierownictwo wdraża środki i je nadzoruje. Regularnie bierze też udział w szkoleniach. Te obowiązki spoczywają na samym kierownictwie.

Przepis: Art. 20 NIS 2 · § 38 BSIG
Kto: Kierownictwo, osobiście

Więcej na ten temat

Co to oznacza przy 50 do 150 pracownikach

Nie potrzebujesz własnego zespołu ds. bezpieczeństwa. Prawo go nie wymaga.

Nie potrzebujesz certyfikatu, takiego jak ISO 27001. Prawo go nie wymaga, ale może on pomóc jako dowód.

Środki muszą pasować do Twojej firmy. Miarą są: narażenie na ryzyko, wielkość firmy, koszty oraz prawdopodobieństwo i powaga incydentów (§ 30(1), zdanie drugie, BSIG).

Zapisujesz, co wdrażasz (§ 30(1), zdanie trzecie, BSIG). Środki muszą też być skuteczne.

Pracę wykonują ludzie, których już masz: kierownictwo, osoba odpowiedzialna za IT i działy, które wiedzą, czego potrzebuje firma.

W jakiej kolejności

Każdy krok opiera się na poprzednim.

1Sprawdzić, czy NIS2 Cię dotyczy. Zależy to od Twojego sektora, liczby pracowników i obrotu (§ 28 BSIG).
2Zarejestrować się w BSI.
3Przeszkolić kierownictwo.
4Spisać, z jakiego IT korzysta firma i kto dla niej pracuje. Potem ocenić ryzyka.
5Postanowić o środkach i zapisać je jako dokumenty: polityka bezpieczeństwa, plany awaryjne oraz zasady dotyczące dostępów, aktualizacji i szyfrowania.
6Kierownictwo czyta dokumenty i je zatwierdza.
7Potem regularnie sprawdzać, czy wszystko nadal pasuje.

Wersja skrócona dla kierownictwa

Przykład

Fikcyjna firma: producent systemów przenośnikowych, 90 pracowników. IT zajmuje się jeden pracownik, razem z zewnętrznym usługodawcą.

Sprawdzenie pokazuje: budowa maszyn jest wymieniona w załączniku 2 do BSIG. Przy 90 pracownikach firma jest podmiotem ważnym.

Prezes składa w ELSTER wniosek o certyfikat organizacji. Gdy przychodzi list z kodem aktywacyjnym, rejestruje firmę w portalu BSI.

Bierze udział w szkoleniu dla kierownictwa.

Pracownik IT spisuje, od czego zależy firma: ERP, poczta e-mail, oprogramowanie do projektowania, sterowanie produkcją, kopie zapasowe. Potem dostawców, na przykład usługodawcę IT i dostawcę ERP.

Razem oceniają dla każdej pozycji, co może się stać. Najwięcej waży awaria sterowania produkcją.

Z tego powstają dokumenty: polityka bezpieczeństwa, plan reagowania na incydenty, plan ciągłości działania oraz zasady dotyczące dostępów, aktualizacji i szyfrowania.

Prezes czyta je i zatwierdza. Plan reagowania na incydenty określa, kto decyduje podczas incydentu.

Jak robi to przewodnik

Przewodnik na nisd2.eu prowadzi Cię przez wdrożenie w tej kolejności, krok po kroku.

20 kroków. Operatorzy instalacji krytycznych mają jeden krok więcej.

Obok każdego kroku jest przepis, wyjaśniony prostymi słowami.

Z Twoich odpowiedzi powstaje sześć dokumentów, w tym polityka bezpieczeństwa i oba plany awaryjne.

To, czego jeszcze nie możesz zrobić, odkładasz na bok i idziesz dalej.

Jeśli postanowisz nie wdrażać jakiegoś punktu, zapisujesz dlaczego. Kierownictwo również podpisuje tę decyzję.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto. Imię, nazwisko i data pojawiają się potem na każdym dokumencie.

Zacznij od pierwszego kroku

Częste błędy

Czekanie na ostateczne wytyczne

BSIG obowiązuje od 6 grudnia 2025 r. Od tego dnia obowiązuje też obowiązek wdrożenia środków z § 30 BSIG.

Planowanie na zbyt dużą skalę

Prawo wymaga środków proporcjonalnych, a nie największych możliwych. Na przykład systemy wykrywania ataków są obowiązkowe tylko dla operatorów instalacji krytycznych (§ 31(2) BSIG).

Zostawienie NIS2 samemu działowi IT

Kierownictwo musi wdrażać środki i je nadzorować (§ 38(1) BSIG). Zaangażuj je od początku.

Zapominanie o dostawcach

Bezpieczeństwo łańcucha dostaw to jeden z dziesięciu obszarów (§ 30(2) nr 4 BSIG). Obejmuje wszystkich bezpośrednich dostawców i usługodawców, nie tylko IT.

Tylko na papierze

Prawo wymaga skutecznych środków (§ 30(1) BSIG). Dokument, o którym nikt nie wie, niczego nie chroni.

Źródła

Dyrektywa (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 i 23 (eur-lex.europa.eu)
Ustawa o BSI (BSIG) z 2 grudnia 2025 r., §§ 28, 30, 31, 32, 33 i 38, w mocy od 6 grudnia 2025 r. (gesetze-im-internet.de/bsig_2025)
BSIG, załącznik 2, nr 5.4 budowa maszyn (gesetze-im-internet.de/bsig_2025/anlage_2.html)
BSI, Mein Unternehmenskonto i rejestracja w portalu BSI (bsi.bund.de/dok/muk)

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.