NIS2 dla dostawców chmury: kiedy dostawca usług chmurowych jest objęty
Kto oferuje innym usługę chmurową, czy to infrastrukturę, platformę czy oprogramowanie, jest podmiotem ważnym od 50 pracowników albo przy obrocie i sumie bilansowej, każde powyżej 10 mln EUR, a podmiotem kluczowym od 250 pracowników (§ 28 BSIG). Samo korzystanie z usług chmurowych nie powoduje objęcia przez ten wiersz. Dostawcy chmury podlegają też rozporządzeniu wykonawczemu (UE) 2024/2690.
Czym jest usługa chmurowa
Definicję niosą cztery cechy: klient pobiera zasoby na żądanie, sięga po nie przez sieć, pula rośnie i maleje wraz z zapotrzebowaniem, a kilku klientów współdzieli zasoby.
Pasuje to do mocy obliczeniowej i pamięci jako usługi (IaaS), platform, na przykład baz danych jako usługi (PaaS), oraz oprogramowania, z którego wielu klientów korzysta przez sieć (SaaS).
Pojedynczy serwer o stałej pojemności, który prowadzisz dla jednego klienta, zwykle nie ma tych cech. Może jednak podlegać innemu wierszowi, na przykład usłudze centrum danych lub usłudze zarządzanej.
§ 2 nr 4 BSIG · Art. 6(30) NIS 2
‘cloud computing service’ means a digital service that enables on-demand administration and broad remote access to a scalable and elastic pool of shareable computing resources, including where such resources are distributed across several locations;
Od jakiej wielkości dostawca jest objęty
Podmiot ważny: co najmniej 50 pracowników albo roczny obrót i suma bilansowa, każde powyżej 10 mln EUR.
Podmiot kluczowy: co najmniej 250 pracowników albo ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej. Jest to możliwe, ponieważ dostawcy chmury są wymienieni w załączniku 1.
W odróżnieniu na przykład od usług DNS czy kwalifikowanych usług zaufania dostawcy chmury nie są objęci bez względu na wielkość.
Liczenie odbywa się według zalecenia 2003/361/WE. Przedsiębiorstwa partnerskie i powiązane też mogą się liczyć.
§ 28(1), (2) i (4) BSIG
Co się nie liczy
Korzystanie z usług chmurowych, na przykład poczty e-mail, księgowości czy pamięci od dostawcy, nie jest oferowaniem usługi chmurowej. Twoja firma nie jest wtedy objęta przez ten wiersz załącznika 1. Dostawca jest jednym z Twoich dostawców, których uwzględniasz w swoich środkach, jeśli Twoja firma jest objęta z innego powodu.
Chmura, którą Twoja firma prowadzi tylko dla siebie, również nie jest oferowaną usługą. Jeśli jedna spółka prowadzi ją odpłatnie dla innych spółek z tej samej grupy, zleć sprawdzenie tego w konkretnym przypadku.
Dokładniejsze przepisy dla dostawców chmury
Dostawcy usług chmurowych podlegają też rozporządzeniu wykonawczemu (UE) 2024/2690. Opisuje ono dokładniej wymagania techniczne dla dziesięciu obszarów i w tym zakresie ma pierwszeństwo przed BSIG. Jako rozporządzenie obowiązuje w tym samym brzmieniu w każdym państwie UE.
Określa też, kiedy incydent u tych dostawców jest poważny i musi zostać zgłoszony.
W przypadku dostawców chmury o tym, które państwo jest właściwe, decyduje główna siedziba w UE: państwo, w którym głównie zapadają decyzje dotyczące cyberbezpieczeństwa. Rejestrujesz się więc w jednym państwie UE, nawet jeśli oferujesz usługę w kilku.
§ 30(3) BSIG · rozporządzenie wykonawcze (UE) 2024/2690 · Art. 26 NIS 2
A katalog C5 BSI?
C5 to katalog kryteriów BSI dla usług chmurowych. NIS2 nie wymaga atestacji C5. Wielu klientów jednak o nią prosi, a istniejąca atestacja może służyć jako dowód Twoich środków.
Przykład
Fikcyjna firma: dostawca oprogramowania kadrowego, z którego około 900 klientów korzysta przez sieć. 60 pracowników, 12 mln EUR obrotu.
Oprogramowanie działa dla wszystkich klientów na jednej wspólnej platformie, która rośnie wraz z zapotrzebowaniem. To jest usługa chmurowa.
Przy 60 pracownikach firma jest podmiotem ważnym.
Rejestruje się w BSI, ponieważ decyzje dotyczące cyberbezpieczeństwa zapadają w Niemczech.
Wdraża środki z § 30 BSIG w zakresie, jakiego wymaga rozporządzenie wykonawcze (UE) 2024/2690.
Lista jej aktywów obejmuje aplikację, bazy danych, konta hostingowe, logowanie klientów oraz dostawców, na przykład operatora centrum danych.
Jak robi to przewodnik
W przewodniku na nisd2.eu praca zaczyna się od listy tego, z czym pracuje Twoja firma.
Jeden krok pyta o procesy, oprogramowanie, urządzenia, pomieszczenia i sieci oraz o to, kto je dostarcza. Z tego powstaje lista Twoich aktywów.
Jeden krok pokazuje, w którym państwie UE się rejestrujesz, z regułą dla dostawców cyfrowych, takich jak chmura.
Obok każdego kroku jest przepis, wyjaśniony prostymi słowami.
Na końcu kierownictwo zatwierdza dokumenty w aplikacji, zalogowane na własne konto.
Częste pytania
Czy SaaS jest usługą chmurową w rozumieniu NIS2?
Zwykle tak, jeśli wielu klientów korzysta z oprogramowania przez sieć na wspólnej, skalowalnej platformie. Odpowiada to definicji z Art. 6(30) NIS 2 i § 2 nr 4 BSIG.
Tylko korzystamy z usług chmurowych. Czy jesteśmy dostawcą chmury?
Nie. Korzystanie z usług chmurowych nie jest ich oferowaniem. Twoja firma może być objęta z innego powodu; wtedy dostawca chmury jest jednym z Twoich dostawców.
Od jakiej wielkości dostawca chmury jest objęty?
Od 50 pracowników albo przy rocznym obrocie i sumie bilansowej, każde powyżej 10 mln EUR (§ 28(2) BSIG). Od 250 pracowników albo przy ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej jest podmiotem kluczowym.
Gdzie rejestruje się dostawca chmury działający w kilku państwach UE?
W państwie UE swojej głównej siedziby, w którym głównie zapadają decyzje dotyczące cyberbezpieczeństwa (Art. 26 NIS 2).
Źródła
- Ustawa o BSI (BSIG) § 2 nr 4, §§ 28 i 30, załącznik 1, gesetze-im-internet.de/bsig_2025
- Dyrektywa (UE) 2022/2555 (NIS 2), Art. 6(30), Art. 26 i załącznik I, EUR-Lex
- Rozporządzenie wykonawcze (UE) 2024/2690, EUR-Lex
- Zalecenie Komisji 2003/361/WE, EUR-Lex
- BSI: katalog kryteriów C5, bsi.bund.de
W praktyce
Gdzie to pojawia się w przewodniku krok po kroku
Przewodnik zamienia to w kroki do wypełnienia, a przy każdym z nich wyjaśnia przepisy. Otwórz krok, aby zobaczyć jego ekran wypełniony dla fikcyjnej firmy.
Sam przewodnik jest po niemiecku i po angielsku.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Ile kosztuje przewodnik
4800 € netto rocznie, plus VAT
30 dni na zwrot pieniędzyNa fakturę, płatną w 30 dni. Rezygnacja w ciągu pierwszych 30 dni: faktura zostaje anulowana albo zwracamy pieniądze.
Wdrożenie NIS 2 z przewodnikiem, krok po kroku
Historia zmian i zatwierdzeń do pokazania organowi nadzoru
Terminy i przypomnienia dla każdego wymagania
Kwestionariusz bezpieczeństwa dla Twoich dostawców
Eksport do PDF lub CSV w dowolnym momencie
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
