Noua obligatie de securitate IT pentru companiile germane
Daca ati cautat 'IT Sicherheitspflicht', cautati NIS2. Din decembrie 2025, BSIG revizuit face din securitatea cibernetica o obligatie legala pentru aproximativ 29.500 de companii germane.
NIS2 este obligatia de securitate IT despre care ati tot auzit
Nu există o 'lege de sine stătătoare a obligației de securitate IT' în Germania. Ceea ce există este Directiva NIS2 (UE 2022/2555), transpusă în dreptul german prin NIS2UmsuCG, care a revizuit Legea BSI (BSIG). Aceasta este legea care creează obligații obligatorii de securitate IT pentru companiile din sectoarele enumerate în anexele 1 și 2 la BSIG.
BSIG a intrat în vigoare la 6 decembrie 2025. Cere companiilor afectate să implementeze 10 măsuri specifice de gestionare a riscurilor de securitate cibernetică (secțiunea 30 BSIG), să se înregistreze la BSI, să raporteze incidentele semnificative în termene stricte și să își securizeze lanțurile de aprovizionare. Conform secțiunii 38 BSIG, conducerea trebuie să implementeze și să supravegheze măsurile și răspunde față de companie pentru prejudiciile cauzate din culpă.
Dacă firma voastră are 50 sau mai mulți angajați sau depășește 10 milioane de euro atât la cifra de afaceri anuală, cât și la totalul bilanțului și activează într-unul dintre sectoarele enumerate în anexele 1 și 2 la BSIG, aceste obligații se aplică chiar acum. Termenul de înregistrare a fost 6 martie 2026.
Sector
Firma voastră oferă bunuri sau servicii contra cost într-unul dintre sectoarele enumerate în anexele 1 și 2 la BSIG: energie, transport, finanțe, sănătate, apă, infrastructură digitală (inclusiv servicii TIC și de securitate gestionate), spațiu, servicii poștale și de curierat, deșeuri, produse chimice, alimente, producție, servicii digitale, cercetare.
Numar de angajati
Aveți 50 sau mai mulți angajați. Aceasta urmează definiția UE a IMM-urilor și include toți angajații din grup, nu doar entitatea germană. Excepție: companiile partenere sau legate nu se adaugă dacă IT-ul vostru funcționează independent de al lor (§ 28 alin. (4) BSIG). Angajații cu fracțiune de normă se numără proporțional.
Cifra de afaceri anuala
Cifra voastra de afaceri anuala depaseste 10 milioane de euro SI bilantul total depaseste 10 milioane de euro. Daca depasiti fie pragul de angajati, fie pragul financiar, sunteti in domeniul de aplicare.
Servicii critice
Unele sunt în domeniul de aplicare indiferent de mărime: operatorii de infrastructuri critice (KRITIS), prestatorii de servicii de încredere, registrele de nume TLD și furnizorii de servicii DNS (§ 28 BSIG).
Inregistrati-va la BSI
Înregistrați-vă în doi pași: mai întâi creați un cont la Mein Unternehmenskonto (mein-unternehmenskonto.de, folosește un certificat de organizație ELSTER), apoi înregistrați-vă în portalul BSI (portal.bsi.bund.de). Aceasta este o obligație legală în temeiul secțiunii 33 BSIG, cu propria penalitate de până la 500.000 de euro. Portalul este activ din ianuarie 2026, iar termenul a fost 6 martie 2026. Dacă l-ați ratat, înregistrați-vă imediat.
Efectuati o evaluare a riscului
Identificati activele IT critice, evaluati riscurile fiecaruia si documentati deciziile de tratare. Sectiunea 30 BSIG cere masuri de gestionare a riscurilor proportionale cu expunerea la risc. Aveti nevoie de un inventar de active si de o evaluare structurata a riscului inainte de a putea implementa masuri.
Implementati 10 masuri de securitate
Secțiunea 30 alin. (2) BSIG enumeră 10 domenii: 1 analiza riscurilor și politicile de securitate; 2 gestionarea incidentelor; 3 menținerea activității (backup, recuperare, gestionarea crizelor); 4 securitatea lanțului de aprovizionare; 5 securitatea la achiziția, dezvoltarea și întreținerea IT, inclusiv gestionarea vulnerabilităților; 6 verificarea eficacității măsurilor; 7 instruire și sensibilizare de bază; 8 criptografie; 9 securitatea personalului, controlul accesului și gestionarea activelor; 10 autentificare multifactorială și comunicare securizată. Fiecare domeniu necesită politici documentate și dovezi de implementare.
Configurati raportarea incidentelor
Incidentele semnificative de securitate cibernetica trebuie raportate la BSI in termen de 24 de ore (avertizare timpurie initiala), 72 de ore (notificare completa) si 1 luna (raport final). Definiti ce inseamna un incident semnificativ pentru firma voastra si stabiliti un lant clar de raportare inainte sa se intample ceva.
Mentineti conformitatea continua
NIS2 nu este un proiect unic. Păstrați evaluarea riscurilor la zi când lucrurile se schimbă, instruiți conducerea periodic (secțiunea 38 BSIG cere participare personală; expunerea de motive a legii interpretează „periodic” ca cel puțin o dată la trei ani), reevaluați furnizorii și continuați monitorizarea incidentelor.
Entitățile esențiale riscă amenzi de până la 10 milioane de euro sau 2% din cifra de afaceri anuală globală. Entitățile importante riscă până la 7 milioane de euro sau 1,4%. Doar încălcările privind înregistrarea atrag amenzi de până la 500.000 de euro. BSI poate dispune conformarea (§§ 61, 62 BSIG). Pentru entitățile deosebit de importante care ignoră ordinele sale, autoritatea sectorială competentă poate, ca ultimă soluție, să suspende temporar o licență și să interzică temporar exercitarea funcției de către conducătorii nefiabili (§ 61 alin. (9) BSIG).
Pe lângă amenzi, secțiunea 38 BSIG creează răspundere personală pentru conducere. Directorii trebuie să implementeze măsurile de securitate cibernetică, să supravegheze implementarea și să urmeze periodic instruiri. Ei răspund față de propria companie pentru prejudiciile cauzate din culpă, potrivit regulilor dreptului societar pentru forma sa juridică.
Intrebari frecvente
Este NIS2 acelasi lucru cu obligatia de securitate IT despre care tot aud?
Da. Nu exista o lege separata 'IT Sicherheitspflicht'. NIS2 este directiva UE care a fost transpusa in dreptul german ca BSIG revizuit prin NIS2UmsuCG. Cand oamenii vorbesc despre noi obligatii de securitate IT pentru companiile germane, se refera la aceasta lege. Este in vigoare din 6 decembrie 2025.
Suntem o companie de fabricatie cu 60 de persoane. Chiar ni se aplica?
Foarte probabil da. Fabricatia este enumerata in Anexa II NIS2 (acoperind fabricatia de dispozitive medicale, electronice, echipamente electrice, masini, autovehicule si alte echipamente de transport). Cu 60 de angajati, depasiti pragul de 50 de angajati. Ati fi clasificati ca 'entitate importanta' in temeiul sectiunii 28(2) BSIG, iar toate obligatiile NIS2 se aplica.
Termenul de inregistrare a trecut. Ce ar trebui sa facem?
Înregistrați-vă imediat. Mai întâi creați un cont la Mein Unternehmenskonto (mein-unternehmenskonto.de), apoi înregistrați-vă în portalul BSI (portal.bsi.bund.de), care încă acceptă înregistrări. Înregistrarea tardivă este mai bună decât lipsa înregistrării. Amenda pentru neînregistrare este de până la 500.000 de euro (§ 65 BSIG).
Poate furnizorul nostru extern de IT sa gestioneze conformitatea NIS2 pentru noi?
Pot ajuta la implementarea măsurilor tehnice, dar obligația legală rămâne la firma voastră, chiar dacă IT-ul vostru este complet externalizat. BSI spune acest lucru în FAQ-ul său NIS-2: trebuie să vă asigurați că furnizorii vă implementează măsurile, să îi verificați periodic și să urmăriți ca incidentele să fie raportate. Conducerea voastră rămâne responsabilă conform secțiunii 38 BSIG pentru implementarea și supravegherea măsurilor. Trebuie să documentați ce face furnizorul vostru de IT, să verificați măsurile lor de securitate și să îi includeți în procesul vostru de gestionare a furnizorilor.
Cat costa conformitatea NIS2 pentru o companie din segmentul mediu?
Depinde de ce aveți deja. Legea cere măsuri potrivite cu dimensiunea și riscul vostru, iar costul implementării lor este unul dintre lucrurile care se iau în calcul (§ 30 alin. (1) BSIG).
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Risk Management
Decide how you rate risks
We recommend a ready-made risk assessment method.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
