NIS2 în Germania: ce cere Legea BSI și de când
Germania a transpus NIS2 prin NIS2UmsuCG. Obligațiile se află în noua Lege BSI (BSIG) și se aplică din 6 decembrie 2025. Companiile vizate se înregistrează la BSI, iau măsuri de securitate și raportează incidentele semnificative. Conducerea lor pune în aplicare măsurile și le supraveghează.
Legea
Legea de transpunere a NIS 2 și de consolidare a securității cibernetice (NIS2UmsuCG) a rescris Legea BSI. A intrat în vigoare la 6 decembrie 2025.
Obligațiile se aplică din acea zi. Doar dovezile față de BSI au date ulterioare.
Autoritatea competentă este Oficiul federal pentru securitatea informației (BSI).
BGBl. 2025 I nr. 301
Datele principale
27 decembrie 2022
Directiva (UE) 2022/2555 este publicată în Jurnalul Oficial al UE.
16 ianuarie 2023
Directiva intră în vigoare.
17 octombrie 2024
Termenul UE pentru transpunere. Germania l-a ratat.
6 decembrie 2025
Noua BSIG intră în vigoare. Obligațiile se aplică imediat.
Ianuarie 2026
BSI își deschide portalul pentru înregistrare.
6 martie 2026
Termenul de înregistrare pentru companiile vizate din decembrie 2025.
6 decembrie 2028
De atunci, cel mai devreme, BSI poate cere dovezi de la entitățile esențiale.
Cine este vizat
O companie este vizată dacă lucrează într-un sector enumerat în Anexa 1 sau 2 a BSIG și este suficient de mare.
O astfel de companie este entitate importantă de la 50 de angajați, sau cu o cifră de afaceri anuală și un total al bilanțului de peste 10 milioane EUR fiecare.
O companie dintr-un sector din Anexa 1 este entitate esențială de la 250 de angajați, sau cu o cifră de afaceri de peste 50 milioane EUR și un total al bilanțului de peste 43 milioane EUR. Operatorii de instalații critice și unii furnizori, indiferent de mărime, de exemplu furnizorii calificați de servicii de încredere, sunt și ei entități esențiale.
Directiva UE spune „entitate esențială”, BSIG „besonders wichtige Einrichtung” (entitate deosebit de importantă). Ambele desemnează același grup.
BSI oferă o verificare a aplicabilității. Potrivit BSI, rezultatul ei nu este obligatoriu din punct de vedere juridic.
§ 28 BSIG · Anexele 1 și 2
Cele patru obligații
Înregistrați-vă la BSI
Cel târziu la trei luni după ce compania dumneavoastră devine vizată, prin portalul BSI. Dacă se schimbă ceva, actualizați datele în două săptămâni.
§ 33 BSIG
Mai multe despre acest subiectLuați măsuri de securitate
Măsuri în zece domenii, de la planul de răspuns la incidente la al doilea factor, atât de amănunțite cât cer mărimea și riscul companiei dumneavoastră. Consemnați în scris ce puneți în aplicare.
§ 30 BSIG
Mai multe despre acest subiectRaportați incidentele semnificative
În trei etape, către biroul comun de raportare al BSI și al Oficiului federal pentru protecție civilă și asistență în caz de dezastre, prima în 24 de ore.
§ 32 BSIG
Mai multe despre acest subiectConducerea
Pune în aplicare măsurile, supraveghează punerea lor în aplicare și participă regulat la instruiri.
§ 38 BSIG
Mai multe despre acest subiectCum verifică BSI
BSI poate verifica entitățile esențiale, inclusiv cu ajutorul unor terți, și poate dispune audituri. Poate cere dovezi cel mai devreme din 6 decembrie 2028.
Entitățile importante le verifică doar dacă anumite fapte indică faptul că nu respectă § 30, § 32 sau § 38(3) BSIG.
Amenzile sunt stabilite în § 65 BSIG. Pentru încălcarea măsurilor și a obligației de raportare, plafonul este de 10 milioane EUR pentru entitățile esențiale și 7 milioane EUR pentru cele importante.
§§ 61, 62, 65 BSIG
Amenzile în detaliuCe înseamnă asta pentru o companie cu 50 până la 150 de angajați
Într-un sector din Anexa 1 sau 2, o astfel de companie este de regulă entitate importantă.
Cele patru obligații sunt aceleași pentru entitățile importante și cele esențiale. Supravegherea diferă: BSI verifică entitățile importante doar când există indicii ale unei încălcări.
Cât de amănunțită trebuie să fie fiecare măsură depinde de risc, de mărime și de costuri. O firmă cu 80 de angajați nu trebuie să construiască ceea ce îi trebuie unui grup mare.
§ 30(1) teza a doua BSIG
Un exemplu
O firmă inventată: o firmă de gestionare a deșeurilor cu 75 de angajați.
Gestionarea deșeurilor este enumerată în Anexa 2 a BSIG. Cu 75 de angajați, firma este o entitate importantă.
Are deja un certificat de organizație ELSTER pentru taxe. Îl folosește pentru a se autentifica în portalul BSI și a se înregistra.
Notează cu ce lucrează: planificarea rutelor, cântarele, facturarea, localizarea vehiculelor. Din aceasta rezultă măsurile.
Planul de răspuns la incidente spune cine raportează un incident. Directorul general participă la o instruire și aprobă documentele.
Cum face asta parcursul ghidat
Parcursul ghidat de pe nisd2.eu vă conduce pas cu pas prin obligațiile din BSIG.
20 de pași. Operatorii de instalații critice au unul în plus.
Lângă fiecare pas se află legea, explicată în cuvinte simple.
Înregistrarea, măsurile, raportarea și instruirea conducerii sunt pași separați.
Din răspunsurile dumneavoastră rezultă șase documente, printre care politica de securitate și cele două planuri pentru situații de urgență.
La final, conducerea aprobă documentele în aplicație, autentificată cu propriul cont. Numele și data apar apoi pe fiecare document.
Întrebări frecvente
De când se aplică NIS2 în Germania?
Din 6 decembrie 2025. Noua Lege BSI a intrat în vigoare în acea zi.
Cum se numește legea germană NIS2?
Legea de transpunere a NIS 2 și de consolidare a securității cibernetice, pe scurt NIS2UmsuCG. Ea a rescris în primul rând Legea BSI (BSIG). Obligațiile companiilor se află acolo, de exemplu în §§ 30, 32, 33 și 38.
Trebuie să se înregistreze la BSI fiecare companie vizată?
Da, fiecare entitate esențială și fiecare entitate importantă, cel târziu la trei luni după ce devine vizată (§ 33(1) BSIG). Obligația se aplică fără ca BSI să vă ceară acest lucru.
Cine verifică punerea în aplicare?
BSI. Poate verifica entitățile esențiale; entitățile importante doar când există indicii ale unei încălcări (§§ 61 și 62 BSIG).
Surse
- Legea BSI (BSIG) §§ 28, 30, 32, 33, 38, 61, 62, 65 și Anexele 1 și 2, gesetze-im-internet.de/bsig_2025
- NIS2UmsuCG, BGBl. 2025 I nr. 301
- Directiva (UE) 2022/2555 (NIS 2), Art. 41 și 45, EUR-Lex
- BSI: verificarea aplicabilității NIS 2, betroffenheitspruefung-nis-2.bsi.de
În practică
Unde apare acest lucru în parcursul ghidat
Parcursul ghidat face din acest subiect pași pe care îi completați, cu legea explicată lângă fiecare. Deschideți un pas pentru a vedea ecranul său, completat pentru o firmă fictivă.
Parcursul în sine este în germană și engleză.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Incident Handling
Know how to report an incident
Three reports to your authority, with fixed deadlines.
Governance & Liability
Get management trained
Every member of management, regularly.
Cât costă parcursul ghidat
4.800 EUR net pe an, plus TVA
Banii înapoi în 30 de zilePe bază de factură, scadentă în 30 de zile. Anulare în primele 30 de zile: factura se anulează sau banii se returnează.
Implementare NIS 2 ghidată, pas cu pas
Un istoric al modificărilor și aprobărilor, pe care să îl puteți arăta autorității de supraveghere
Termene și mementouri pentru fiecare cerință
Chestionar de securitate pentru furnizorii dumneavoastră
Export în PDF sau CSV oricând
Vi s-a cerut să vă ocupați de NIS2?
Vă ghidăm pas cu pas. Dumneavoastră completați, noi explicăm fiecare punct pe înțelesul tuturor, iar la final semnează conducerea.
