Załącznik 1 nr 6.1.5 BSIG

NIS2 dla centrów danych: kiedy centrum danych podlega BSIG

Kto oferuje innym usługi centrum danych, na przykład kolokację, jest podmiotem ważnym od 50 pracowników albo przy obrocie i sumie bilansowej, każde powyżej 10 mln EUR, a podmiotem kluczowym od 250 pracowników (§ 28 BSIG). Serwerownia tylko dla własnej firmy nie jest oferowaną usługą. Czy centrum danych jest też instalacją krytyczną, zależy od osobnego progu.

Zacznij teraz

Umów rozmowę

Decyduje ktoś inny? Jedna strona dla Twojego kierownictwa

Simon Orzel·Zuletzt geprüft 5. Oktober 2026

Czym jest usługa centrum danych

Chodzi o całą eksploatację: pomieszczenia, szafy i sieć, a do tego dystrybucję energii i chłodzenie. Infrastruktura techniczna budynku jest częścią usługi.

To, czy wynajmujesz miejsce, energię i chłodzenie dla cudzych serwerów (kolokacja), czy samodzielnie prowadzisz serwery, nie zmienia tego, czy jest to usługa centrum danych.

§ 2 nr 35 BSIG · Art. 6(31) NIS 2

‘data centre service’ means a service that encompasses structures, or groups of structures, dedicated to the centralised accommodation, interconnection and operation of IT and network equipment providing data storage, processing and transport services together with all the facilities and infrastructures for power distribution and environmental control;

Art. 6(31) NIS 2 (wersja angielska). Niemiecka BSIG używa niemal tego samego brzmienia w § 2 nr 35.

Od jakiej wielkości dostawca jest objęty

Podmiot ważny: co najmniej 50 pracowników albo roczny obrót i suma bilansowa, każde powyżej 10 mln EUR.

Podmiot kluczowy: co najmniej 250 pracowników albo ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej. Jest to możliwe, ponieważ centra danych są wymienione w załączniku 1.

W odróżnieniu na przykład od usług DNS czy kwalifikowanych usług zaufania centra danych nie są objęte bez względu na wielkość.

Liczenie odbywa się według zalecenia 2003/361/WE. Przedsiębiorstwa partnerskie i powiązane też mogą się liczyć.

§ 28(1), (2) i (4) BSIG

Własna serwerownia

Jeśli Twoja firma prowadzi serwery tylko dla siebie, nie oferujesz usługi centrum danych. Twoja firma nie jest wtedy objęta przez ten wiersz załącznika 1.

Twoja firma może jednak być objęta z innego powodu, na przykład jako producent, firma spożywcza lub przedsiębiorstwo gospodarki odpadami. Wtedy serwerownia należy do systemów, które chronisz.

Jeśli jedna spółka prowadzi odpłatnie centrum danych dla innych spółek z tej samej grupy, zleć sprawdzenie tego w konkretnym przypadku.

Kiedy centrum danych jest instalacją krytyczną

Bez względu na wielkość firmy centrum danych może być instalacją krytyczną. Jego operator jest wtedy podmiotem kluczowym.

Czy instalacja jest krytyczna, zależy od progów w rozporządzeniu. W rozporządzeniu BSI o infrastrukturze krytycznej (BSI-KritisV) wartość dla centrum danych (housing) wynosi 3,5 megawata mocy uzgodnionej w umowach.

Operatorzy instalacji krytycznych mają dwa dodatkowe obowiązki: stosują systemy wykrywania ataków i co trzy lata wykazują BSI swoje środki.

§ 2 nr 22, § 28(1) nr 1, §§ 31 i 39 BSIG

Dokładniejsze przepisy dla dostawców cyfrowych

Dostawcy usług centrum danych podlegają też rozporządzeniu wykonawczemu (UE) 2024/2690. Opisuje ono dokładniej wymagania techniczne dla dziesięciu obszarów i w tym zakresie ma pierwszeństwo przed BSIG.

Określa też, kiedy incydent u tych dostawców jest poważny i musi zostać zgłoszony.

§ 30(3) BSIG · rozporządzenie wykonawcze (UE) 2024/2690

Przykład

Fikcyjna firma: regionalny dostawca kolokacji, 60 pracowników, dwie lokalizacje i klienci z sektora MŚP. W umowach uzgodniono 2 megawaty mocy.

Kolokacja jest usługą centrum danych. Przy 60 pracownikach firma jest podmiotem ważnym.

Przy 2 megawatach jest poniżej wartości z BSI-KritisV. Na tej podstawie centrum danych nie jest instalacją krytyczną.

Rejestruje się w BSI i wdraża środki z § 30 BSIG w zakresie, jakiego wymaga rozporządzenie wykonawcze (UE) 2024/2690.

Lista jej aktywów zaczyna się od infrastruktury technicznej budynku: przyłącze sieciowe, UPS, zasilanie awaryjne, chłodzenie, ochrona przeciwpożarowa i kontrola dostępu. Potem sieć, szafy i monitoring.

Jak robi to przewodnik

W przewodniku na nisd2.eu praca zaczyna się od listy tego, z czym pracuje Twoja firma.

Jeden krok pyta o procesy, oprogramowanie, urządzenia, pomieszczenia i sieci oraz o to, kto je dostarcza. Z tego powstaje lista Twoich aktywów.

W profilu firmy podajesz, czy prowadzisz instalację krytyczną. Dopiero wtedy pojawia się krok o wykrywaniu ataków i dowodach dla BSI.

Obok każdego kroku jest przepis, wyjaśniony prostymi słowami.

Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.

Zacznij od listy swoich aktywów

Częste pytania

Czy kolokacja jest usługą centrum danych w rozumieniu NIS2?

Tak. Kolokacja zapewnia pomieszczenia, energię i chłodzenie dla cudzego IT. To mieści się w definicji z § 2 nr 35 BSIG.

Czy NIS2 dotyczy naszej własnej serwerowni?

Nie jako usługa centrum danych, dopóki prowadzisz ją tylko dla własnej firmy. Jeśli Twoja firma jest objęta z innego powodu, chronisz serwerownię w ramach swoich środków.

Od jakiej wielkości centrum danych jest objęte?

Od 50 pracowników albo przy rocznym obrocie i sumie bilansowej, każde powyżej 10 mln EUR (§ 28(2) BSIG). Jeśli centrum danych jest instalacją krytyczną, bez względu na wielkość.

Czy każde centrum danych to KRITIS?

Nie. Centrum danych jest instalacją krytyczną dopiero powyżej progu. W BSI-KritisV jest to 3,5 megawata mocy uzgodnionej w umowach dla housingu.

Źródła

Ustawa o BSI (BSIG) § 2 nr 22 i 35, §§ 28, 30, 31, 39, załącznik 1, gesetze-im-internet.de/bsig_2025
Dyrektywa (UE) 2022/2555 (NIS 2), Art. 6(31) i załącznik I, EUR-Lex
Rozporządzenie wykonawcze (UE) 2024/2690, EUR-Lex
BSI-KritisV, załącznik 4, gesetze-im-internet.de/bsi-kritisv
Zalecenie Komisji 2003/361/WE, EUR-Lex

W praktyce

Gdzie to pojawia się w przewodniku krok po kroku

Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.

Sam przewodnik jest po niemiecku i po angielsku.

Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.