Documentele NIS2: de ce documentație are nevoie compania dumneavoastră
NIS2 vă cere să documentați măsurile de securitate (§ 30(1) teza a treia BSIG). Legea cere explicit „politici” (Konzepte) pentru analiza riscurilor și securitatea IT, verificarea eficacității, criptografie și pentru personal, acces și gestionarea IT. Pentru rest, de multe ori este suficientă o listă. Legea nu prescrie un format.
Ce cere legea
Entitățile esențiale și importante iau măsuri în zece domenii (§ 30(2) BSIG). Ele consemnează în scris că fac acest lucru (§ 30(1) teza a treia BSIG).
Pentru patru domenii, legea vorbește explicit de politici: analiza riscurilor și securitatea IT (nr. 1), evaluarea eficacității (nr. 6), criptografia (nr. 8) și personalul, controlul accesului și gestionarea IT (nr. 9).
Legea nu stabilește cum arată documentele, cât de lungi sunt sau în ce software le țineți. Ele urmează riscul, mărimea și costurile companiei dumneavoastră (§ 30(1) teza a doua BSIG).
§ 30(1) și (2) BSIG · Art. 21 NIS 2
Documentele pe scurt
Aceste șase documente acoperă domeniile în care un text scris are sens. Conducerea aprobă fiecare dintre ele.
| Document | Ce spune |
|---|---|
| Politica de securitate a informației§ 30(2) nr. 1 | Cum tratează compania dumneavoastră securitatea informației: obiective, responsabilități, cum se evaluează riscurile. |
| Planul de răspuns la incidente§ 30(2) nr. 2 | Cine decide la un incident, pe cine sunați, cum vă contactați fără IT și cum raportați la BSI. |
| Planul de continuitate a activității§ 30(2) nr. 3 | Ce trebuie să funcționeze în continuare când cade IT-ul și cum reluați activitatea. |
| Reguli pentru achiziție, întreținere și vulnerabilități§ 30(2) nr. 5 | La ce sunteți atenți când cumpărați IT, cum se instalează actualizările și unde pot raporta alții vulnerabilitățile pe care le găsesc. |
| Politica de criptografie§ 30(2) nr. 8 | Unde și cum criptați, de exemplu laptopuri, e-mail și acces de la distanță. |
| Politica privind personalul, accesele și gestionarea IT§ 30(2) nr. 9 | Cine primește ce acces, cum îl primesc cei noi și cum îl pierd cei care pleacă și cum vă gestionați IT-ul. |
Unde este suficientă o listă
Pentru alte domenii nu aveți nevoie de text continuu. O listă pe care o țineți la zi arată ce faceți.
| Listă | Ce spune |
|---|---|
| Activele dumneavoastr㧠30(2) nr. 1 și 9 | Cu ce lucrează compania dumneavoastră: procese, software, dispozitive, încăperi, rețele și cine le furnizează. |
| Furnizorii dumneavoastr㧠30(2) nr. 4 | Cine lucrează pentru dumneavoastră și ce ați convenit cu ei privind securitatea. |
| Copiile de siguranț㧠30(2) nr. 3 | Ce se salvează, cu ce și când a fost testată ultima dată restaurarea. |
| Instruirile§ 30(2) nr. 7 · § 38(3) | Cine a participat la ce instruire și când, angajații și conducerea. |
| Al doilea factor și comunicarea securizat㧠30(2) nr. 10 | Unde un al doilea factor protejează autentificarea și ce canale folosiți pentru comunicarea securizată. |
| Analiza conducerii§ 30(2) nr. 6 · § 38(1) | Când a verificat conducerea dacă măsurile funcționează, ce a decis și cine face ce și până când. |
Mai mult pentru anumiți furnizori digitali
Furnizori precum cloud, centre de date, servicii gestionate și alte câteva servicii digitale intră și sub Regulamentul de punere în aplicare (UE) 2024/2690. Anexa lui descrie mai detaliat multe evidențe.
Pentru toate celelalte companii, această anexă nu este obligatorie. Poate servi drept orientare.
§ 30(3) BSIG · Regulamentul de punere în aplicare (UE) 2024/2690
Cui i se aplică Regulamentul de punere în aplicareCe înseamnă asta pentru o companie cu 50 până la 150 de angajați
Nu aveți nevoie de o colecție de șabloane pentru fiecare detaliu. Un document pentru fiecare domeniu în care este nevoie de un text, iar pentru rest liste pe care le țineți la zi.
Mai important decât lungimea este ca documentele să se potrivească activității dumneavoastră și ca ceea ce spun să se și întâmple.
Legea nu cere un certificat precum ISO 27001. Acesta vă poate însă susține dovezile.
§ 30(1) tezele a doua și a treia BSIG
Un exemplu
O firmă inventată: un producător de mașini de ambalat cu 110 angajați. Construcția de mașini este enumerată în Anexa 2 a BSIG, deci firma este o entitate importantă.
Responsabilul IT notează cu ce lucrează firma: ERP, software de proiectare, controlul producției, e-mail, backup. Lângă fiecare, cine îl furnizează.
Din răspunsurile lui pentru cele zece domenii rezultă cele șase documente. Planul de răspuns la incidente spune că directorul general decide, iar responsabilul IT raportează.
Firma ține furnizorii, copiile de siguranță și instruirile sub formă de liste.
Directorul general citește documentele și le aprobă. Când apare un nou furnizor de servicii, IT-ul îl adaugă pe lista de furnizori.
Cum face asta parcursul ghidat
În parcursul ghidat de pe nisd2.eu, documentele rezultă din răspunsurile dumneavoastră.
Din răspunsurile dumneavoastră rezultă șase documente: politica de securitate, planul de răspuns la incidente, planul de continuitate a activității, politica de criptografie, politica privind personalul, accesele și activele, precum și regulile pentru achiziție, întreținere și vulnerabilități.
Puteți adăuga propriile prevederi la fiecare document.
Acolo unde o listă este suficientă, țineți o listă: IT-ul, furnizorii, copiile de siguranță, instruirile.
La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont. Numele și data apar apoi pe fiecare document.
Exportul pune totul într-un singur document, pe care îl salvați ca PDF din browser.
Întrebări frecvente
Ce documente cere NIS2?
BSIG vă cere să documentați punerea în aplicare a măsurilor (§ 30(1) teza a treia). Numește explicit politici pentru analiza riscurilor și securitatea IT, eficacitate, criptografie și pentru personal, acces și gestionarea IT (§ 30(2) nr. 1, 6, 8 și 9).
Există un format prescris?
Nu. Legea nu stabilește nici formatul, nici lungimea. Documentele urmează riscul, mărimea și costurile companiei dumneavoastră.
Trebuie semnate documentele?
BSIG nu prescrie o semnătură. Dar conducerea trebuie să pună în aplicare și să supravegheze măsurile (§ 38(1) BSIG), iar directiva UE îi cere să le aprobe (Art. 20(1) NIS 2). O aprobare consemnată de către conducere este deci alegerea evidentă.
Avem nevoie de o certificare ISO 27001?
Legea nu o cere. Un certificat vă poate susține dovezile, dar nu acoperă automat BSIG.
Surse
- Legea BSI (BSIG) §§ 30 și 38, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), Art. 20 și 21, EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690, Art. 1 și anexa, EUR-Lex
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
