§ 32 BSIG: obligația de a raporta incidentele de securitate semnificative
§ 32 BSIG obligă entitățile esențiale și importante să raporteze incidentele de securitate semnificative: o avertizare timpurie în 24 de ore, o notificare a incidentului în 72 de ore și un raport final la o lună după notificare. Termenele curg din momentul în care aflați de incident. Raportați în portalul BSI.
Cele trei raportări
Raportările merg la biroul comun de raportare al BSI și al Oficiului federal pentru protecție civilă și asistență în caz de dezastre (BBK).
Avertizare timpurie
Dacă se suspectează că incidentul provine dintr-o faptă ilegală sau rău intenționată și dacă ar putea avea efecte în alte țări. Legea germană o numește „frühe Erstmeldung”.
§ 32(1) nr. 1
Notificarea incidentului
Confirmă sau actualizează avertizarea timpurie. Adaugă o primă evaluare a gravității și a impactului și, dacă există, semne despre atacatori (indicatori de compromitere).
§ 32(1) nr. 2
Raportul final
La o lună după notificare: ce s-a întâmplat, cât de grav a fost, cauza probabilă, ce ați făcut și ce faceți, și dacă sunt afectate alte țări.
§ 32(1) nr. 4
Dacă BSI cere, trimiteți între timp un raport intermediar (nr. 3). Dacă incidentul este încă în desfășurare după o lună, trimiteți un raport de progres în locul raportului final, iar raportul final după ce incidentul a fost rezolvat (alineatul 2).
Obligația de raportare pas cu pasCând un incident este semnificativ
Un incident de securitate este semnificativ dacă a cauzat sau poate cauza perturbări grave ale activității sau pierderi financiare pentru compania dumneavoastră. Sau dacă a cauzat sau poate cauza altora prejudicii materiale sau morale considerabile.
Pentru anumiți furnizori digitali, precum cloud, centre de date și servicii gestionate, Regulamentul de punere în aplicare (UE) 2024/2690 stabilește praguri mai precise. Pentru toți ceilalți nu există cifre fixe. Decideți pe baza acestor două criterii și consemnați de ce.
§ 2 nr. 11 BSIG · Art. 23(3) NIS 2
Când pornește termenul și unde raportați
Termenele curg din momentul în care aflați de incident, nu din momentul în care totul este clar. BSI înțelege prin aceasta momentul în care cineva din companie află de incident în timpul programului de lucru.
Raportați în portalul BSI, cu aceeași autentificare ca la înregistrare. Dacă nu sunteți încă înregistrați, raportați printr-un formular online în portalul de raportare și informare al BSI (MIP).
Dacă sunt afectate date cu caracter personal, raportați de regulă și la autoritatea de protecție a datelor: fără întârzieri nejustificate și, dacă este posibil, în 72 de ore, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru persoanele vizate (Art. 33 GDPR). O raportare nu o înlocuiește pe cealaltă.
§ 32(1) BSIG · Art. 33 GDPR
Ce mai reglementează paragraful
Alineatul 3: operatorii de instalații critice indică în plus ce instalație este afectată și ce înseamnă incidentul pentru serviciul lor critic.
Alineatul 4: BSI stabilește detaliile procedurii și ale conținutului și le publică pe site-ul său.
Alineatul 5: BSI transmite raportările autorităților federale de supraveghere competente.
Alineatul 6: BSI vă poate oferi sprijin în gestionarea incidentului.
Ce înseamnă asta pentru o companie cu 50 până la 150 de angajați
Stabiliți dinainte cine apreciază dacă un incident este semnificativ și cine raportează. Într-o situație de urgență rămâne puțin timp pentru asta.
Verificați că această persoană se poate autentifica azi în portalul BSI și cine o înlocuiește. Dacă doar o singură persoană are accesul, cele 24 de ore devin repede strânse.
Un exemplu
O firmă inventată: un comerciant angro de alimente cu 95 de angajați. Vineri, ora 16:00: software-ul depozitului cade, iar camioanele nu pot fi încărcate.
16:30: IT-ul constată că serverele sunt criptate. Din acest moment curge termenul.
17:00: conform planului de răspuns la incidente, decide directorul general. El clasifică incidentul ca semnificativ, pentru că activitatea este grav perturbată.
20:00: avertizarea timpurie în portalul BSI. Ea spune că se suspectează un atac și că ar putea fi afectați clienți din Austria. Termenul ar fi expirat sâmbătă la ora 16:30.
Cel târziu luni la ora 16:30: notificarea incidentului, cu o primă evaluare a gravității și a impactului.
La o lună după această notificare: raportul final, sau un raport de progres dacă incidentul este încă în desfășurare. În paralel, firma verifică dacă sunt afectate date cu caracter personal.
Cum face asta parcursul ghidat
Doi pași din parcursul ghidat de pe nisd2.eu vă pregătesc pentru raportare.
„Planificați ce se întâmplă la un incident”: din răspunsurile dumneavoastră rezultă planul de răspuns la incidente. El spune cine decide și cum raportați.
„Aflați cum raportați un incident”: pasul arată cele trei termene și un exemplu de avertizare timpurie.
Consemnați dacă vă puteți autentifica în portalul BSI și raporta.
La final, conducerea aprobă planul de răspuns la incidente în aplicație.
Întrebări frecvente
Când începe termenul de 24 de ore?
Din momentul în care compania dumneavoastră află de incidentul semnificativ, nu din momentul în care acesta a început. BSI înțelege prin aceasta momentul în care cineva din companie află de el în timpul programului de lucru.
Ce conține avertizarea timpurie?
Legea cere două lucruri: dacă în spatele incidentului ar putea fi un atac sau o altă faptă ilegală și dacă incidentul ar putea afecta alte țări (§ 32(1) nr. 1 BSIG). Ce nu știți încă adăugați în notificarea de după 72 de ore.
Există praguri fixe pentru un incident semnificativ?
Doar pentru furnizorii digitali numiți în Regulamentul de punere în aplicare (UE) 2024/2690. Pentru toți ceilalți se aplică criteriile din § 2 nr. 11 BSIG: perturbare gravă a activității, pierdere financiară sau prejudicii considerabile pentru alții.
Trebuie să raportez și conform GDPR?
Dacă sunt afectate date cu caracter personal, de regulă da: la autoritatea de protecție a datelor, dacă este posibil în 72 de ore (Art. 33 GDPR). Raportarea la BSI nu o înlocuiește.
Unde raportez?
În portalul BSI, cu autentificarea de la înregistrare. Dacă nu sunteți încă înregistrați, folosiți formularul online din portalul de raportare și informare al BSI.
Surse
- Legea BSI (BSIG) § 2 nr. 11 și § 32, gesetze-im-internet.de/bsig_2025
- Directiva (UE) 2022/2555 (NIS 2), Art. 23, EUR-Lex
- Regulamentul de punere în aplicare (UE) 2024/2690, EUR-Lex
- BSI: pachetul de informații privind raportarea NIS 2 și ghidul pentru raportarea în portalul BSI, bsi.bund.de
- Regulamentul (UE) 2016/679 (GDPR), Art. 33
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
