Cerințe NIS2: ce trebuie să pună în aplicare compania dumneavoastră
NIS2 cere măsuri de securitate în zece domenii, raportarea incidentelor semnificative și înregistrarea la BSI. Conducerea pune în aplicare măsurile și le supraveghează. Cât de departe merge fiecare măsură depinde de mărimea și de riscul companiei dumneavoastră.
Programe și afilieri
Cerințele pe scurt
NIS 2 este o directivă a UE. În Germania, ea este transpusă prin Legea BSI (BSIG). Companiile vizate se numesc acolo "entități".
Măsuri de securitate în zece domenii
Lista minimă se află mai jos, fiecare domeniu cu un exemplu.
Art. 21 NIS 2 · § 30 BSIG
Mai multe despre acest subiectRaportați incidentele semnificative
În trei etape către BSI, prima în cel mult 24 de ore.
Art. 23 NIS 2 · § 32 BSIG
Mai multe despre acest subiectÎnregistrați-vă la BSI
O singură dată, prin portalul BSI. Dacă se schimbă ceva, raportați schimbarea în cel mult două săptămâni.
Art. 3(4) NIS 2 · § 33 BSIG
Mai multe despre acest subiectConducerea
Conducerea pune în aplicare măsurile, le supraveghează și participă regulat la instruiri. Directiva cere, în plus, ca ea să aprobe măsurile.
Art. 20 NIS 2 · § 38 BSIG
Mai multe despre acest subiectCele zece măsuri în cuvinte simple
Art. 21(2) NIS 2 numește zece domenii, în Germania § 30(2) BSIG. Aceasta este lista minimă. Pentru fiecare domeniu aveți nevoie de măsuri potrivite companiei dumneavoastră.
Analiza riscurilor și politica de securitate
Notați de ce IT are nevoie activitatea dumneavoastră și ce poate merge prost. De aici rezultă o politică de securitate: cum gestionează compania dumneavoastră securitatea informației.
De exemplu: O listă a sistemelor dumneavoastră, cu o evaluare pentru fiecare risc, și o politică de câteva pagini.
Art. 21(2)(a) · § 30(2) nr. 1
Gestionarea incidentelor
Stabiliți cum detectați, limitați și rezolvați un incident și cine decide.
De exemplu: Un plan pentru incidente, cu numere de telefon și responsabilități clare.
Art. 21(2)(b) · § 30(2) nr. 2
Menținerea activității
Copii de siguranță, recuperarea după o situație de urgență și gestionarea crizelor.
De exemplu: O copie de siguranță a cărei restaurare ați testat-o.
Art. 21(2)(c) · § 30(2) nr. 3
Securitatea lanțului de aprovizionare
Țineți cont de vulnerabilitățile fiecărui furnizor direct și de calitatea produselor și a practicilor sale de securitate (Art. 21(3) NIS 2). Contractele sunt instrumentul obișnuit.
De exemplu: Contractul cu furnizorul dumneavoastră de servicii IT prevede că vă raportează incidentele.
Art. 21(2)(d) · § 30(2) nr. 4
Securitatea la achiziția, dezvoltarea și întreținerea IT
Securitatea contează deja când cumpărați IT, când dezvoltați propriile sisteme și în timpul întreținerii. Aici intră și remedierea vulnerabilităților și tratarea lor în mod deschis, de exemplu cu o adresă la care alții pot raporta vulnerabilitățile pe care le găsesc.
De exemplu: Actualizările de securitate se instalează automat.
Art. 21(2)(e) · § 30(2) nr. 5
Evaluarea eficacității
Stabiliți cum verificați dacă măsurile funcționează. Legea nu impune teste sau audituri pentru fiecare entitate.
De exemplu: O dată pe an, conducerea trece prin ce a funcționat și ce nu.
Art. 21(2)(f) · § 30(2) nr. 6
Instruire de bază și conștientizare
Toți angajații învață elementele de bază: recunoașterea e-mailurilor suspecte, alegerea unor parole bune, raportarea incidentelor.
De exemplu: O instruire scurtă la angajare și o reîmprospătare o dată pe an.
Art. 21(2)(g) · § 30(2) nr. 7
Criptografie
Stabiliți unde și cum criptați.
De exemplu: Laptopuri cu discuri criptate și e-mail doar prin conexiuni criptate.
Art. 21(2)(h) · § 30(2) nr. 8
Personal, accese și gestionarea IT
Cine are voie să facă ce? Cum primesc noii angajați accesele, și cum le pierd cei care pleacă? Aici intră și o evidență a IT-ului dumneavoastră.
De exemplu: Toate accesele se blochează în ultima zi de lucru.
Art. 21(2)(i) · § 30(2) nr. 9
Al doilea factor și comunicare securizată
Autentificarea cu un al doilea factor pe lângă parolă, sau cu o verificare continuă că lucrează în continuare aceeași persoană. În plus, voce, video și text securizate și, unde este nevoie, un canal securizat pentru situații de urgență.
De exemplu: Un cod dintr-o aplicație la autentificarea în e-mail și la accesul de la distanță.
Art. 21(2)(j) · § 30(2) nr. 10
Cât este suficient?
Legea cere măsuri adecvate, proporționale și eficace (§ 30(1) BSIG). Ce este proporțional depinde de expunerea la risc, de mărimea companiei, de costuri, de cât de probabile și de grave ar fi incidentele și de consecințele lor pentru alții.
Consemnați în scris ce puneți în aplicare (§ 30(1) teza a treia BSIG). Legea nu cere un certificat precum ISO 27001. Totuși, acesta vă poate sprijini dovezile.
Ce înseamnă exact "proporțional"Un exemplu
O firmă inventată: un producător de produse de panificație, cu 120 de angajați, care livrează către comerț. Producția industrială de alimente apare în Anexa 2 a BSIG, deci firma este o entitate importantă. Iată răspunsul ei pentru trei dintre cele zece domenii:
Lanțul de aprovizionare: firma ține o listă a furnizorilor săi de servicii, de exemplu pentru gestiunea mărfurilor, monitorizarea lanțului frigorific și IT. Contractul de IT prevede că furnizorul raportează incidentele.
Al doilea factor: pentru e-mail și accesul de la distanță, toată lumea are nevoie de un cod dintr-o aplicație.
Menținerea activității: rețetele și planurile de producție se salvează zilnic. O dată pe an, IT-ul testează restaurarea.
Cum face asta parcursul ghidat
În parcursul ghidat de pe nisd2.eu, fiecare dintre cele zece domenii devine cel puțin un pas pe care îl completați.
Lângă fiecare pas se află temeiul legal, explicat în cuvinte simple.
Acolo unde este nevoie de un document, acesta rezultă din răspunsurile dumneavoastră: politica de securitate, planul de răspuns la incidente, planul de continuitate a activității, politica de criptografie, politica privind personalul, accesele și activele, precum și regulile pentru achiziție, întreținere și vulnerabilități.
Acolo unde o listă este suficientă, țineți o listă: IT-ul, furnizorii, copiile de siguranță, instruirile.
Dacă decideți să nu puneți în aplicare un punct, notați de ce. Conducerea semnează și această decizie.
La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont. Numele și data apar apoi pe fiecare document.
Avertizare timpurie
Dacă se suspectează că incidentul provine dintr-un atac sau dintr-o faptă ilegală și dacă ar putea afecta alte țări.
Notificarea incidentului
O primă evaluare a gravității și a impactului, cu semne despre atacatori (indicatori de compromitere), dacă există.
Raportul final
La o lună după notificare: ce s-a întâmplat, cauza probabilă și ce ați făcut în privința ei.
Cine verifică, și când?
Ei își dovedesc măsurile față de BSI prin audituri, inspecții sau certificări. Prima dată la o dată stabilită de BSI, cel mai devreme la trei ani după ce sunt considerați operatori, apoi la fiecare trei ani (§ 39 BSIG). În plus, trebuie să folosească sisteme de detectare a atacurilor (§ 31(2) BSIG).
Nu există un ciclu fix de audit. Consemnați în scris ce puneți în aplicare (§ 30(1) BSIG). BSI poate face verificări și poate dispune audituri realizate de organisme independente (§ 61(1) și (5) BSIG). Poate cere dovezi cel mai devreme începând cu 6 decembrie 2028 (§ 61(3) și (4) BSIG).
Consemnați în scris ce puneți în aplicare. BSI verifică doar dacă anumite fapte indică faptul că nu respectați § 30, § 32 sau § 38(3) BSIG (§ 62 BSIG).
- Rapoarte de audit interne sau externe
- Certificări, de exemplu ISO 27001 sau BSI IT-Grundschutz
- Documentația dumneavoastră: evaluarea riscurilor, măsurile puse în aplicare și verificarea eficacității lor
Un certificat ISO 27001 sau IT-Grundschutz ajută, dar nu acoperă automat cerințele BSIG. Legea poate merge dincolo de sfera unei certificări.
- Țineți cont de vulnerabilitățile fiecărui furnizor direct și de calitatea produselor și a practicilor sale de securitate, inclusiv a dezvoltării sale (Art. 21(3) NIS 2).
- Stabiliți cerințe de securitate cu furnizorii acolo unde se potrivește, de obicei în contract. Expunerea de motive a legii dă contractele ca exemplu.
- Doar pentru furnizorii digitali vizați de Regulamentul de punere în aplicare (UE) 2024/2690: aceștia monitorizează, la intervale planificate, schimbările din practicile de securitate ale furnizorilor lor (punctul 5.1.6 din anexă).
Surse
- Directiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 și 23 (eur-lex.europa.eu)
- Legea BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 și 62 (gesetze-im-internet.de/bsig_2025)
- BSIG, Anexa 2, nr. 4 producția, prelucrarea și distribuția de alimente
- Regulamentul de punere în aplicare (UE) 2024/2690, Art. 3 și punctul 5.1.6 din anexă
- Proiectul de lege al guvernului federal german pentru NIS2UmsuCG, documentul Bundestag 21/1501, expunerea de motive la § 30
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.