Art. 23 NIS 2 · § 32 BSIG

Obligația de raportare NIS2: când și cum raportați incidentele la BSI

Un incident de securitate semnificativ îl raportați la BSI în trei etape: o avertizare timpurie în cel mult 24 de ore, o notificare în cel mult 72 de ore și un raport final o lună mai târziu (§ 32 BSIG). Termenul curge din momentul în care aflați de incident. Raportați în portalul BSI.

Începeți

Programați o discuție

Decide altcineva? O pagină pentru conducerea dumneavoastră

Simon Orzel·Laufend geprüft

Programe și afilieri

Ce este un incident de securitate semnificativ

Un incident de securitate este un eveniment care compromite disponibilitatea, integritatea sau confidențialitatea datelor ori a serviciilor dumneavoastră (§ 2 nr. 40 BSIG). Trebuie să raportați doar incidentele semnificative.

Un incident este semnificativ dacă a cauzat sau poate cauza unul dintre două lucruri (§ 2 nr. 11 BSIG, Art. 23(3) NIS 2): o perturbare gravă a activității sau pierderi financiare pentru compania dumneavoastră, ori pagube considerabile pentru alții. Pentru anumiți furnizori digitali, Regulamentul de punere în aplicare (UE) 2024/2690 stabilește praguri exacte. Pentru toți ceilalți, BSI spune: un incident este semnificativ dacă îndeplinește unul dintre criteriile din Art. 3(1) al acestui regulament și întotdeauna atunci când un serviciu critic cade sau este afectat.

Perturbare gravă a activității

Incidentul perturbă grav furnizarea serviciilor dumneavoastră sau poate face acest lucru.

Pierderi financiare

Incidentul cauzează pierderi financiare companiei dumneavoastră sau poate face acest lucru. Pentru furnizorii digitali vizați de regulamentul de punere în aplicare, pragul este o pierdere directă de peste 500.000 EUR sau 5% din cifra de afaceri a anului anterior, oricare dintre acestea este mai mică (Art. 3(1)(a)).

Pagube pentru alții

Incidentul cauzează altor persoane sau companii pagube materiale sau morale considerabile, sau poate face acest lucru.

Încălcarea securității datelor

O încălcare a securității datelor este semnificativă doar dacă îndeplinește unul dintre cele două criterii, de exemplu pentru că provoacă altora pagube considerabile. Raportarea conform § 32 BSIG există alături de notificarea conform Art. 33 și 34 GDPR. Ambele se pot aplica aceluiași incident.

Durata

Durata nu este un criteriu separat. Pentru furnizorii digitali vizați de regulamentul de punere în aplicare, se aplică limite de timp pentru fiecare serviciu, de exemplu un serviciu cloud complet indisponibil mai mult de 30 de minute (Art. 7(a)).

Dacă aveți dubii, raportați devreme. BSI dorește în mod explicit rapoarte timpurii, chiar dacă multe lucruri nu sunt încă clare. Corecturile intră în rapoartele ulterioare.

Mai multe despre acest subiect

Termenele

Trei rapoarte cu termene fixe, plus două care apar doar în anumite cazuri. Termenele sunt maxime: raportați fără întârzieri nejustificate.

Termenul începe să curgă din momentul în care aflați. Potrivit BSI, acesta este momentul în care un angajat al companiei dumneavoastră află de incidentul semnificativ în timpul programului de lucru.

1

Avertizare timpurie

24 de ore

Un prim avertisment către BSI, cel târziu la 24 de ore după ce ați aflat de incident.

Dacă se suspectează că incidentul provine dintr-o faptă ilegală sau rău intenționată
Dacă ar putea afecta alte țări
O primă clasificare a incidentului
Cine raportează și cum poate BSI să contacteze această persoană

2

Notificarea incidentului

72 de ore

Cel târziu la 72 de ore după ce ați aflat de incident. Ea confirmă sau actualizează avertizarea timpurie.

O primă evaluare a gravității și a impactului
Semne despre atacatori (indicatori de compromitere), dacă există
Ce știți despre cauză
Ce ați făcut și ce mai plănuiți să faceți

3

Raport intermediar

La cerere

Doar dacă BSI îl cere: situația actuală.

Stadiul limitării și al recuperării
Constatări noi despre cauză, amploare sau impact

4

Raportul final

La 1 lună după notificare

Cel târziu la o lună după notificarea depusă în termenul de 72 de ore.

O descriere detaliată a incidentului, cu gravitatea și impactul
Tipul amenințării sau cauza probabilă
Ce ați făcut și ce faceți în continuare
Dacă sunt afectate alte țări

5

Raport de progres

Dacă incidentul este în curs

Dacă incidentul este încă în curs după o lună, depuneți un raport de progres în locul raportului final. Raportul final urmează după ce incidentul a fost gestionat (§ 32(2) BSIG).

Situația actuală
Ce ați limitat până acum

Un exemplu

O firmă inventată. Luni, ora 9: contabilitatea anunță IT-ul că fișierele de pe server sunt criptate. Preluarea comenzilor s-a oprit.

Luni, ora 9:30: IT-ul confirmă un atac. Conform planului pentru incidente, decide directorul general. El clasifică incidentul ca semnificativ, pentru că activitatea este grav perturbată.

Luni, ora 14: avertizarea timpurie în portalul BSI. Ea spune ce se știe și că se suspectează un atac. Termenul ar fi expirat marți, la ora 9.

Joi, cel târziu la ora 9: notificarea, cu o primă evaluare a gravității și a impactului.

La o lună după această notificare: raportul final, cu cauza și remedierea. Dacă incidentul este încă în curs atunci, vine mai întâi un raport de progres.

În paralel, firma verifică dacă sunt afectate date cu caracter personal. Dacă da, se aplică în plus obligația de notificare conform Art. 33 GDPR.

Ce intră în avertizarea timpurie

BSI enumeră aceste informații pentru avertizarea timpurie. Formularul din portal le cere.

Clasificarea incidentului, motivul raportării și situația
O descriere preliminară: perturbarea, impactul, durata estimată și cauza presupusă
Când a avut loc incidentul și când l-ați observat
Sectoarele și tipurile de entități afectate
Dacă se suspectează un atac și dacă ar putea fi afectate alte țări
Ce ați făcut până acum și dacă incidentul este sub control
Cum poate BSI să contacteze persoana care raportează

Regula BSI: viteza înaintea completitudinii. Un raport depus nu poate fi retras. Îl corectați printr-un raport ulterior.

Cum face asta parcursul ghidat

Doi pași din parcursul ghidat de pe nisd2.eu vă pregătesc pentru raportare.

"Plan what happens in an incident" (planificați ce se întâmplă la un incident): din răspunsurile dumneavoastră rezultă planul de răspuns la incidente. El spune cine decide și cum raportați.

"Know how to report an incident" (aflați cum raportați un incident): pasul arată cele trei termene și un exemplu de avertizare timpurie.

Notați dacă vă puteți autentifica în portalul BSI și dacă puteți raporta.

La final, conducerea aprobă planul de răspuns la incidente în aplicație.

Scrieți planul pentru incidente în parcursul ghidat

Unde se raportează și cine raportează

Raportați la BSI, de regulă prin portalul BSI.

Rapoartele conform § 32 BSIG ajung la BSI, de regulă prin portalul BSI. Dacă firma dumneavoastră are un incident semnificativ înainte de a se înregistra, raportați printr-un formular din portalul de raportare și informare al BSI (MIP). Operatorii de instalații critice și autoritățile federale folosesc deocamdată canalele lor de raportare de până acum.

Poate raporta orice angajat care are acces la portal. Fiecare persoană are nevoie de propriul certificat de organizație de la ELSTER și trebuie să fie asociată entității dumneavoastră în portal. Puteți lăsa și un furnizor de servicii să raporteze pentru dumneavoastră. Responsabilitatea pentru raport rămâne la dumneavoastră.

Operatorii de instalații critice raportează în plus tipul instalației, serviciul critic și impactul asupra acestuia (§ 32(3) BSIG). Dacă sunt afectate date cu caracter personal, poate fi necesară și o notificare către autoritatea de protecție a datelor.

După raportare

BSI confirmă primirea fără întârzieri nejustificate, pe cât posibil în 24 de ore. La cerere, oferă orientare sau consiliere (§ 36(1) BSIG).
BSI vă poate obliga să îi informați pe destinatarii serviciilor dumneavoastră despre incident (§ 35(1) BSIG).
Așteptați-vă la întrebări suplimentare. BSI recomandă ca avertismentele sale să ajungă la cineva și în afara programului de lucru.

Ce pregătiți dinainte

Cine decide dacă un incident este semnificativ și cine raportează.
Accesul acestor persoane la portalul BSI: câte un certificat de organizație pentru fiecare și asocierea cu entitatea dumneavoastră.
Numerele de telefon ale IT-ului, ale furnizorilor de servicii și ale conducerii, și pe hârtie.
Un plan pentru incidente pe care oamenii îl găsesc chiar și atunci când serverele sunt căzute.

Surse

Legea BSI (BSIG), § 2 nr. 11 și 40, §§ 32, 35 și 36 (gesetze-im-internet.de/bsig_2025)
Directiva (UE) 2022/2555 (NIS 2), Art. 23 (eur-lex.europa.eu)
Regulamentul de punere în aplicare (UE) 2024/2690, Art. 3 și 7
BSI, obligația de raportare NIS 2: termene, conținut și canal (bsi.bund.de/dok/nis-2-meldepflicht)
BSI, Mein Unternehmenskonto: accesul la portalul BSI (bsi.bund.de/dok/muk)
Regulamentul (UE) 2016/679 (GDPR), Art. 33 și 34

În practică

Unde apare acest lucru în parcursul ghidat

Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.

Parcursul în sine este în germană și engleză.

Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.