Art. 23 NIS 2 · § 32 BSIG

Obowiązek zgłaszania NIS2: kiedy i jak zgłaszać incydenty do BSI

Poważny incydent bezpieczeństwa zgłaszasz do BSI w trzech etapach: wczesne ostrzeżenie w ciągu 24 godzin, zgłoszenie incydentu w ciągu 72 godzin i sprawozdanie końcowe miesiąc później (§ 32 BSIG). Czas liczy się od chwili, gdy się o nim dowiesz. Zgłoszenia składasz w portalu BSI.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Laufend geprüft

Programy i członkostwa

Czym jest poważny incydent bezpieczeństwa

Incydent bezpieczeństwa to zdarzenie, które narusza dostępność, integralność lub poufność Twoich danych lub usług (§ 2 nr 40 BSIG). Zgłaszać musisz tylko poważne incydenty.

Incydent jest poważny, jeśli spowodował albo może spowodować jedną z dwóch rzeczy (§ 2 nr 11 BSIG, Art. 23(3) NIS 2): poważne zakłócenie działalności lub straty finansowe dla Twojej firmy albo znaczne szkody u innych. Dla niektórych dostawców cyfrowych rozporządzenie wykonawcze (UE) 2024/2690 określa dokładne progi. Dla wszystkich pozostałych BSI mówi: incydent jest poważny, jeśli spełnia jedno z kryteriów z Art. 3(1) tego rozporządzenia, i zawsze wtedy, gdy usługa krytyczna przestaje działać lub działa z zakłóceniami.

Poważne zakłócenie działalności

Incydent poważnie zakłóca świadczenie Twoich usług albo może to zrobić.

Straty finansowe

Incydent powoduje straty finansowe dla Twojej firmy albo może je spowodować. Dla dostawców cyfrowych objętych rozporządzeniem wykonawczym próg to bezpośrednia strata powyżej 500 000 EUR lub 5% obrotu z poprzedniego roku, w zależności od tego, która kwota jest niższa (Art. 3(1)(a)).

Szkody u innych

Incydent powoduje u innych osób lub firm znaczne szkody majątkowe lub niemajątkowe albo może je spowodować.

Naruszenie danych

Naruszenie danych jest poważne tylko wtedy, gdy spełnia jedno z dwóch kryteriów, na przykład dlatego, że wyrządza innym znaczne szkody. Zgłoszenie z § 32 BSIG istnieje obok zgłoszenia z Art. 33 i 34 RODO. Oba mogą dotyczyć tego samego incydentu.

Czas trwania

Czas trwania nie jest osobnym kryterium. Dla dostawców cyfrowych objętych rozporządzeniem wykonawczym obowiązują limity czasu dla każdej usługi, na przykład gdy usługa w chmurze jest całkowicie niedostępna dłużej niż 30 minut (Art. 7(a)).

W razie wątpliwości zgłoś wcześnie. BSI wyraźnie chce wczesnych zgłoszeń, nawet gdy wiele jest jeszcze niejasne. Poprawki trafiają do kolejnych zgłoszeń.

Więcej na ten temat

Terminy

Trzy zgłoszenia ze stałymi terminami i dwa, które pojawiają się tylko w określonych przypadkach. Terminy są maksymalne: zgłaszasz bez zbędnej zwłoki.

Zegar startuje w chwili, gdy dowiesz się o incydencie. Według BSI jest to moment, w którym pracownik Twojej firmy w godzinach pracy dowiaduje się o poważnym incydencie.

1

Wczesne ostrzeżenie

24 godziny

Pierwsze ostrzeżenie dla BSI, najpóźniej 24 godziny od chwili, gdy dowiesz się o incydencie.

Czy incydent prawdopodobnie wynika z czynu bezprawnego lub złośliwego
Czy może dotknąć inne kraje
Pierwsza klasyfikacja incydentu
Kto zgłasza i jak BSI może się z tą osobą skontaktować

2

Zgłoszenie incydentu

72 godziny

Najpóźniej 72 godziny od chwili, gdy dowiesz się o incydencie. Potwierdza lub aktualizuje wczesne ostrzeżenie.

Pierwsza ocena powagi i skutków
Ślady atakujących (wskaźniki kompromitacji), jeśli są dostępne
Co wiadomo o przyczynie
Jakie działania podjęto i jakie są jeszcze planowane

3

Sprawozdanie pośrednie

Na żądanie

Tylko jeśli BSI o nie poprosi: aktualny stan.

Stan ograniczania incydentu i usuwania jego skutków
Nowe ustalenia dotyczące przyczyny, zakresu lub skutków

4

Sprawozdanie końcowe

1 miesiąc po zgłoszeniu incydentu

Najpóźniej miesiąc po zgłoszeniu incydentu złożonym w terminie 72 godzin.

Szczegółowy opis incydentu, z jego powagą i skutkami
Rodzaj zagrożenia lub prawdopodobna przyczyna
Jakie działania podjęto i jakie są nadal prowadzone
Czy dotknięte są inne kraje

5

Sprawozdanie z postępów

Gdy incydent nadal trwa

Jeśli po miesiącu incydent nadal trwa, zamiast sprawozdania końcowego składasz sprawozdanie z postępów. Sprawozdanie końcowe składasz, gdy incydent zostanie obsłużony (§ 32(2) BSIG).

Aktualny stan
Co udało się dotąd opanować

Przykład

Fikcyjna firma. Poniedziałek, 9:00: księgowość mówi działowi IT, że pliki na serwerze są zaszyfrowane. Przyjmowanie zamówień stoi.

Poniedziałek, 9:30: dział IT potwierdza atak. Zgodnie z planem reagowania na incydenty decyduje prezes. Uznaje incydent za poważny, bo działalność jest mocno zakłócona.

Poniedziałek, 14:00: wczesne ostrzeżenie w portalu BSI. Mówi, co wiadomo, i że podejrzewa się atak. Termin upłynąłby we wtorek o 9:00.

Najpóźniej w czwartek o 9:00: zgłoszenie incydentu z pierwszą oceną powagi i skutków.

Miesiąc po tym zgłoszeniu: sprawozdanie końcowe z przyczyną i środkami zaradczymi. Jeśli incydent wtedy nadal trwa, najpierw składane jest sprawozdanie z postępów.

Równolegle firma sprawdza, czy incydent dotyczy danych osobowych. Jeśli tak, obowiązuje też obowiązek zgłoszenia z Art. 33 RODO.

Co zawiera wczesne ostrzeżenie

BSI wymienia te dane dla wczesnego ostrzeżenia. Formularz w portalu o nie pyta.

Klasyfikacja incydentu, powód zgłoszenia i sytuacja
Wstępny opis: zakłócenie, skutki, przewidywany czas trwania i przypuszczalna przyczyna
Kiedy doszło do incydentu i kiedy go zauważono
Dotknięte sektory i rodzaje podmiotów
Czy podejrzewa się atak i czy mogą być dotknięte inne kraje
Co zrobiono do tej pory i czy incydent jest pod kontrolą
Jak BSI może się skontaktować z osobą zgłaszającą

Zasada BSI: szybkość przed kompletnością. Złożonego zgłoszenia nie można wycofać. Poprawiasz je zgłoszeniem uzupełniającym.

Jak robi to przewodnik

Dwa kroki w przewodniku na nisd2.eu przygotowują Cię do zgłaszania.

„Plan what happens in an incident”: z Twoich odpowiedzi powstaje plan reagowania na incydenty. Określa, kto decyduje i jak zgłaszasz.

„Know how to report an incident”: krok pokazuje trzy terminy i przykład wczesnego ostrzeżenia.

Zapisujesz, czy możesz zalogować się do portalu BSI i złożyć zgłoszenie.

Na końcu kierownictwo zatwierdza plan reagowania na incydenty w aplikacji.

Przygotuj plan reagowania na incydenty w przewodniku

Gdzie zgłaszać i kto zgłasza

Zgłaszasz do BSI, zwykle przez portal BSI.

Zgłoszenia z § 32 BSIG trafiają do BSI, zwykle przez portal BSI. Jeśli Twoja firma ma poważny incydent, zanim się zarejestruje, zgłaszasz go przez formularz w portalu zgłoszeń i informacji BSI (MIP). Operatorzy instalacji krytycznych i urzędy federalne na razie korzystają ze swoich dotychczasowych kanałów zgłaszania.

Zgłosić może każdy pracownik, który ma dostęp do portalu. Każda osoba potrzebuje własnego certyfikatu organizacji z ELSTER i musi być w portalu przypisana do Twojego podmiotu. Zgłoszenie może też złożyć za Ciebie usługodawca. Odpowiedzialność za zgłoszenie pozostaje po Twojej stronie.

Operatorzy instalacji krytycznych zgłaszają dodatkowo rodzaj instalacji, usługę krytyczną i wpływ incydentu na tę usługę (§ 32(3) BSIG). Jeśli incydent dotyczy danych osobowych, może być potrzebne także zgłoszenie do organu ochrony danych.

Po zgłoszeniu

BSI bez zbędnej zwłoki potwierdza otrzymanie, w miarę możliwości w ciągu 24 godzin. Na prośbę udziela wskazówek lub porad (§ 36(1) BSIG).
BSI może nakazać Ci poinformowanie odbiorców Twoich usług o incydencie (§ 35(1) BSIG).
Spodziewaj się pytań uzupełniających. BSI zaleca, aby jego ostrzeżenia docierały do kogoś także poza godzinami pracy.

Co przygotować z wyprzedzeniem

Kto decyduje, czy incydent jest poważny, i kto zgłasza.
Dostęp do portalu BSI dla tych osób: dla każdej własny certyfikat organizacji i przypisanie do Twojego podmiotu.
Numery telefonów do IT, usługodawców i kierownictwa, także na papierze.
Plan reagowania na incydenty, który da się znaleźć także wtedy, gdy serwery nie działają.

Źródła

Ustawa o BSI (BSIG), § 2 nr 11 i 40, §§ 32, 35 i 36 (gesetze-im-internet.de/bsig_2025)
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
Rozporządzenie wykonawcze (UE) 2024/2690, Art. 3 i 7
BSI, obowiązek zgłaszania NIS 2: terminy, treść i kanał (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto: dostęp do portalu BSI (bsi.bund.de/dok/muk)
Rozporządzenie (UE) 2016/679 (RODO), Art. 33 i 34

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.