Companii mijlocii

Implementarea NIS2: cum procedează o companie mijlocie

Vă înregistrați compania la BSI, puneți în aplicare măsuri de securitate în zece domenii și raportați incidentele semnificative. Conducerea supraveghează toate acestea. Cât de detaliată trebuie să fie fiecare măsură depinde de mărimea și de riscul companiei dumneavoastră.

Începeți

Programați o discuție

Decide altcineva? O pagină pentru conducerea dumneavoastră

Simon Orzel·Laufend geprüft

Programe și afilieri

Cele patru obligații

NIS 2 este o directivă a UE. În Germania, ea este transpusă prin Legea BSI (BSIG). O companie căreia i se aplică se numește acolo "entitate". Fiecare entitate are patru obligații.

Înregistrarea

Vă înregistrați compania o singură dată la BSI, prin portalul acestuia.

Temei legal: Art. 3(4) NIS 2 · § 33 BSIG
Cine: Persoana care administrează contul ELSTER al companiei

Mai multe despre acest subiect

Puneți în aplicare măsurile și consemnați-le în scris

Vă protejați IT-ul în zece domenii, de la planul pentru incidente până la autentificarea cu un al doilea factor. Ce decideți, consemnați în scris.

Temei legal: Art. 21 NIS 2 · § 30 BSIG
Cine: Persoana responsabilă de IT, din companie sau de la un furnizor de servicii

Mai multe despre acest subiect

Raportați incidentele semnificative

Un incident de securitate semnificativ îl raportați la BSI, primul raport în cel mult 24 de ore. Un incident este semnificativ, de exemplu, atunci când vă perturbă grav activitatea.

Temei legal: Art. 23 NIS 2 · § 32 BSIG
Cine: Persoana care decide în caz de urgență

Mai multe despre acest subiect

Conducerea are rolul principal

Conducerea pune în aplicare măsurile și le supraveghează. În plus, participă regulat la instruiri. Aceste obligații revin conducerii însăși.

Temei legal: Art. 20 NIS 2 · § 38 BSIG
Cine: Conducerea, personal

Mai multe despre acest subiect

Ce înseamnă asta pentru 50 până la 150 de angajați

Nu aveți nevoie de o echipă de securitate proprie. Legea nu cere așa ceva.

Nu aveți nevoie de un certificat precum ISO 27001. Legea nu îl cere, dar el poate ajuta ca dovadă.

Măsurile trebuie să se potrivească companiei dumneavoastră. Criteriile sunt expunerea la risc, mărimea companiei, costurile și cât de probabile și de grave ar fi incidentele (§ 30(1) teza a doua BSIG).

Consemnați în scris ce puneți în aplicare (§ 30(1) teza a treia BSIG). În plus, măsurile trebuie să fie eficace.

Munca o fac oamenii pe care îi aveți deja: conducerea, persoana responsabilă de IT și departamentele care știu de ce are nevoie activitatea.

În ce ordine

Fiecare pas se sprijină pe cel dinainte.

1Verificați dacă NIS2 vi se aplică. Aceasta depinde de sectorul dumneavoastră, de numărul de angajați și de cifra de afaceri (§ 28 BSIG).
2Înregistrați-vă la BSI.
3Asigurați instruirea conducerii.
4Notați ce IT folosește activitatea dumneavoastră și cine lucrează pentru dumneavoastră. Apoi evaluați riscurile.
5Decideți măsurile și consemnați-le în documente: o politică de securitate, planuri pentru situații de urgență și reguli pentru accese, actualizări și criptare.
6Conducerea citește documentele și le aprobă.
7După aceea, verificați regulat dacă totul se mai potrivește.

Varianta scurtă pentru conducere

Un exemplu

O firmă inventată: un producător de benzi transportoare, cu 90 de angajați. De IT se ocupă un angajat, împreună cu un furnizor de servicii extern.

Verificarea arată: construcția de mașini apare în Anexa 2 a BSIG. Cu 90 de angajați, firma este o entitate importantă.

Directorul general solicită un certificat de organizație de la ELSTER. Când sosește scrisoarea cu codul de activare, înregistrează firma în portalul BSI.

Participă la o instruire pentru conducere.

Angajatul de IT notează de ce depinde activitatea: ERP, e-mail, software de proiectare, controlul producției, copii de siguranță. Apoi furnizorii, de exemplu furnizorul de servicii IT și furnizorul sistemului ERP.

Împreună evaluează, pentru fiecare element, ce s-ar putea întâmpla. O cădere a controlului producției cântărește cel mai mult.

Din asta rezultă documentele: politica de securitate, un plan de răspuns la incidente, un plan de continuitate a activității și reguli pentru accese, actualizări și criptare.

Directorul general le citește și le aprobă. Planul de răspuns la incidente spune cine decide în timpul unui incident.

Cum face asta parcursul ghidat

Parcursul ghidat de pe nisd2.eu vă conduce prin implementare în această ordine, câte un pas pe rând.

20 de pași. Operatorii de instalații critice au un pas în plus.

Lângă fiecare pas se află temeiul legal, explicat în cuvinte simple.

Din răspunsurile dumneavoastră rezultă șase documente, printre care politica de securitate și cele două planuri pentru situații de urgență.

Ce nu puteți face încă, puneți deoparte și mergeți mai departe.

Dacă decideți să nu puneți în aplicare un punct, notați de ce. Conducerea semnează și această decizie.

La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont. Numele și data apar apoi pe fiecare document.

Începeți cu primul pas

Greșeli frecvente

Așteptarea unor ghiduri finale

BSIG se aplică din 6 decembrie 2025. Tot de atunci se aplică și obligația de a lua măsuri conform § 30 BSIG.

Planuri prea mari

Legea cere măsuri proporționale, nu cele mai mari posibile. Sistemele de detectare a atacurilor, de exemplu, sunt obligatorii doar pentru operatorii de instalații critice (§ 31(2) BSIG).

NIS2 lăsat doar în seama IT-ului

Conducerea trebuie să pună în aplicare măsurile și să le supravegheze (§ 38(1) BSIG). Implicați-o de la început.

Furnizorii uitați

Securitatea lanțului de aprovizionare este unul dintre cele zece domenii (§ 30(2) nr. 4 BSIG). Sunt vizați toți furnizorii direcți și toți prestatorii de servicii, nu doar cei de IT.

Doar pe hârtie

Legea cere măsuri eficace (§ 30(1) BSIG). Un document pe care nu îl cunoaște nimeni nu protejează nimic.

Surse

Directiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 și 23 (eur-lex.europa.eu)
Legea BSI (BSIG) din 2 decembrie 2025, §§ 28, 30, 31, 32, 33 și 38, în vigoare din 6 decembrie 2025 (gesetze-im-internet.de/bsig_2025)
BSIG, Anexa 2, nr. 5.4 construcția de mașini (gesetze-im-internet.de/bsig_2025/anlage_2.html)
BSI, Mein Unternehmenskonto și înregistrarea în portalul BSI (bsi.bund.de/dok/muk)

În practică

Unde apare acest lucru în parcursul ghidat

Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.

Parcursul în sine este în germană și engleză.

Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.