Art. 21 NIS 2 · § 30 BSIG

Wymagania NIS2: co Twoja firma musi wdrożyć

NIS2 wymaga środków bezpieczeństwa w dziesięciu obszarach, zgłaszania poważnych incydentów i rejestracji w BSI. Kierownictwo wdraża środki i je nadzoruje. Zakres każdego środka zależy od wielkości Twojej firmy i ryzyka.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Cory Hisey·Laufend geprüft

Programy i członkostwa

Wymagania w skrócie

NIS 2 to dyrektywa UE. W Niemczech wprowadza ją do prawa ustawa o BSI (BSIG). Objęte firmy nazywa się tam „podmiotami”.

Środki bezpieczeństwa w dziesięciu obszarach

Minimalna lista jest poniżej, każdy obszar z przykładem.

Art. 21 NIS 2 · § 30 BSIG

Więcej na ten temat

Zgłaszanie poważnych incydentów

W trzech etapach do BSI, pierwsze zgłoszenie w ciągu 24 godzin.

Art. 23 NIS 2 · § 32 BSIG

Więcej na ten temat

Rejestracja w BSI

Jednorazowo, przez portal BSI. Jeśli coś się zmieni, zgłaszasz to w ciągu dwóch tygodni.

Art. 3(4) NIS 2 · § 33 BSIG

Więcej na ten temat

Kierownictwo

Wdraża środki, nadzoruje je i regularnie bierze udział w szkoleniach. Dyrektywa wymaga też, aby kierownictwo zatwierdzało środki.

Art. 20 NIS 2 · § 38 BSIG

Więcej na ten temat

Dziesięć środków prostymi słowami

Art. 21(2) NIS 2 wymienia dziesięć obszarów, w Niemczech § 30(2) BSIG. To jest lista minimalna. Dla każdego obszaru potrzebujesz środków, które pasują do Twojej firmy.

1

Analiza ryzyka i polityka bezpieczeństwa

Spisujesz, jakiego IT potrzebuje Twoja firma i co może z nim pójść nie tak. Z tego wynika polityka bezpieczeństwa: jak Twoja firma zarządza bezpieczeństwem informacji.

Na przykład: Lista Twoich systemów z oceną każdego ryzyka i polityka na kilka stron.

Art. 21(2)(a) · § 30(2) nr 1

2

Obsługa incydentów

Ustalasz, jak wykrywasz, ograniczasz i usuwasz incydent oraz kto decyduje.

Na przykład: Plan reagowania na incydenty z numerami telefonów i jasnym podziałem obowiązków.

Art. 21(2)(b) · § 30(2) nr 2

3

Utrzymanie działalności

Kopie zapasowe, przywracanie po sytuacji awaryjnej i zarządzanie kryzysowe.

Na przykład: Kopia zapasowa, której przywracanie zostało już sprawdzone w praktyce.

Art. 21(2)(c) · § 30(2) nr 3

4

Bezpieczeństwo łańcucha dostaw

Bierzesz pod uwagę podatności każdego bezpośredniego dostawcy oraz jakość jego produktów i praktyk bezpieczeństwa (Art. 21(3) NIS 2). Zwykłym narzędziem są umowy.

Na przykład: W umowie z Twoim usługodawcą IT jest zapis, że zgłasza Ci on incydenty.

Art. 21(2)(d) · § 30(2) nr 4

5

Bezpieczeństwo przy zakupie, rozwoju i utrzymaniu IT

Bezpieczeństwo obowiązuje już przy zakupie IT, przy własnym rozwoju oprogramowania i podczas utrzymania. Obejmuje to usuwanie podatności i otwarte postępowanie z nimi, na przykład przez adres, pod który inni mogą zgłaszać znalezione podatności.

Na przykład: Aktualizacje bezpieczeństwa instalują się automatycznie.

Art. 21(2)(e) · § 30(2) nr 5

6

Ocena skuteczności

Ustalasz, jak sprawdzasz, czy środki działają. Prawo nie nakazuje testów ani audytów każdemu podmiotowi.

Na przykład: Raz w roku kierownictwo omawia, co zadziałało, a co nie.

Art. 21(2)(f) · § 30(2) nr 6

7

Podstawowe szkolenia i świadomość

Wszyscy pracownicy poznają podstawy: rozpoznawanie podejrzanych e-maili, wybór dobrych haseł, zgłaszanie incydentów.

Na przykład: Krótkie szkolenie na start i odświeżenie raz w roku.

Art. 21(2)(g) · § 30(2) nr 7

8

Kryptografia

Ustalasz, gdzie i jak szyfrujesz.

Na przykład: Laptopy z zaszyfrowanymi dyskami, a poczta e-mail tylko przez szyfrowane połączenia.

Art. 21(2)(h) · § 30(2) nr 8

9

Personel, dostępy i zarządzanie IT

Kto może robić co? Jak nowe osoby dostają dostęp, a jak odchodzące go tracą? Należy do tego także spis Twojego IT.

Na przykład: Wszystkie dostępy są blokowane w ostatnim dniu pracy.

Art. 21(2)(i) · § 30(2) nr 9

10

Drugi składnik i bezpieczna komunikacja

Logowanie z drugim składnikiem oprócz hasła albo z ciągłym sprawdzaniem, czy nadal pracuje ta sama osoba. Do tego zabezpieczona komunikacja głosowa, wideo i tekstowa oraz, tam gdzie to potrzebne, zabezpieczony kanał na sytuacje awaryjne.

Na przykład: Kod z aplikacji przy logowaniu do poczty e-mail i dostępu zdalnego.

Art. 21(2)(j) · § 30(2) nr 10

Ile wystarczy?

Prawo wymaga środków odpowiednich, proporcjonalnych i skutecznych (§ 30(1) BSIG). To, co jest proporcjonalne, zależy od narażenia na ryzyko, wielkości firmy, kosztów, prawdopodobieństwa i powagi incydentów oraz ich skutków dla innych.

Zapisujesz, co wdrażasz (§ 30(1), zdanie trzecie, BSIG). Prawo nie wymaga certyfikatu, takiego jak ISO 27001. Certyfikat może jednak wesprzeć Twoje dowody.

Co dokładnie znaczy „proporcjonalny”

Przykład

Fikcyjna firma: producent wyrobów piekarniczych ze 120 pracownikami, który zaopatruje handel. Przemysłowa produkcja żywności jest wymieniona w załączniku 2 do BSIG, więc firma jest podmiotem ważnym. Tak wygląda jej odpowiedź na trzy z dziesięciu obszarów:

Łańcuch dostaw: firma prowadzi listę swoich usługodawców, na przykład od systemu gospodarki towarowej, monitoringu łańcucha chłodniczego i IT. W umowie IT jest zapis, że usługodawca zgłasza incydenty.

Drugi składnik: do poczty e-mail i dostępu zdalnego każdy potrzebuje kodu z aplikacji.

Utrzymanie działalności: kopie zapasowe receptur i planów produkcji powstają codziennie. Raz w roku dział IT sprawdza w praktyce ich przywracanie.

Jak robi to przewodnik

W przewodniku na nisd2.eu każdy z dziesięciu obszarów staje się co najmniej jednym krokiem, który wypełniasz.

Obok każdego kroku jest przepis, wyjaśniony prostymi słowami.

Tam, gdzie potrzebny jest dokument, powstaje on z Twoich odpowiedzi: polityka bezpieczeństwa, plan reagowania na incydenty, plan ciągłości działania, polityka kryptograficzna, polityka dotycząca personelu, dostępów i zasobów oraz zasady zakupu, utrzymania i postępowania z podatnościami.

Tam, gdzie wystarczy lista, prowadzisz listę: Twoje IT, Twoi dostawcy, Twoje kopie zapasowe, Twoje szkolenia.

Jeśli postanowisz nie wdrażać jakiegoś punktu, zapisujesz dlaczego. Kierownictwo również podpisuje tę decyzję.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto. Imię, nazwisko i data pojawiają się potem na każdym dokumencie.

Zacznij od pierwszego obszaru w przewodniku

Zgłaszanie poważnych incydentów

Poważny incydent bezpieczeństwa zgłaszasz do BSI w trzech etapach (§ 32 BSIG, Art. 23 NIS 2). Terminy liczą się od chwili, gdy się o nim dowiesz.

24 godziny

Wczesne ostrzeżenie

Czy incydent prawdopodobnie wynika z ataku lub czynu bezprawnego i czy może dotknąć inne kraje.

72 godziny

Zgłoszenie incydentu

Pierwsza ocena powagi i skutków, a jeśli są dostępne, także ślady atakujących (wskaźniki kompromitacji).

1 miesiąc

Sprawozdanie końcowe

Miesiąc po zgłoszeniu incydentu: co się stało, prawdopodobna przyczyna i jakie działania podjęto.

Obowiązek zgłaszania szczegółowo

Kto sprawdza i kiedy?

Operatorzy instalacji krytycznych

Wykazują swoje środki przed BSI przez audyty, kontrole lub certyfikacje. Pierwszy raz w terminie wyznaczonym przez BSI, najwcześniej trzy lata po tym, jak zaczęli być uznawani za operatorów, a potem co trzy lata (§ 39 BSIG). Muszą też stosować systemy wykrywania ataków (§ 31(2) BSIG).

Podmioty kluczowe

Brak stałego cyklu kontroli. Zapisujesz, co wdrażasz (§ 30(1) BSIG). BSI może przeprowadzać kontrole i nakazać audyty przez niezależne jednostki (§ 61(1) i (5) BSIG). Dowodów może żądać najwcześniej od 6 grudnia 2028 r. (§ 61(3) i (4) BSIG).

Podmioty ważne

Zapisujesz, co wdrażasz. BSI sprawdza tylko wtedy, gdy fakty wskazują, że nie przestrzegasz § 30, § 32 lub § 38(3) BSIG (§ 62 BSIG).

Co może służyć jako dowód

Wewnętrzne lub zewnętrzne raporty z audytów
Certyfikaty, takie jak ISO 27001 lub BSI IT-Grundschutz
Twoja dokumentacja: ocena ryzyka, wdrożone środki i sprawdzenie ich skuteczności

Certyfikat ISO 27001 lub IT-Grundschutz pomaga, ale nie pokrywa automatycznie wymagań BSIG. Prawo może wykraczać poza zakres certyfikacji.

Dostawcy

Dla łańcucha dostaw oznacza to:

Bierzesz pod uwagę podatności każdego bezpośredniego dostawcy oraz jakość jego produktów i praktyk bezpieczeństwa, w tym jego procesu rozwoju (Art. 21(3) NIS 2).
Tam, gdzie to pasuje, uzgadniasz z dostawcami wymagania bezpieczeństwa, zwykle w umowie. Uzasadnienie ustawy podaje umowy jako przykład.
Tylko dla dostawców cyfrowych objętych rozporządzeniem wykonawczym (UE) 2024/2690: w zaplanowanych odstępach monitorują zmiany w praktykach bezpieczeństwa swoich dostawców (pkt 5.1.6 załącznika).

Źródła

Dyrektywa (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 i 23 (eur-lex.europa.eu)
Ustawa o BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 i 62 (gesetze-im-internet.de/bsig_2025)
BSIG, załącznik 2, nr 4 produkcja, przetwarzanie i dystrybucja żywności
Rozporządzenie wykonawcze (UE) 2024/2690, Art. 3 i pkt 5.1.6 załącznika
Rządowy projekt ustawy NIS2UmsuCG, druk Bundestagu 21/1501, uzasadnienie do § 30

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.