NIS2: кого это касается и что делать прямо сейчас
Практическое руководство по анализу применимости и ключевым обязанностям по немецкому BSIG.
Кто подпадает под NIS2?
Директива NIS2 существенно расширяет круг регулируемых компаний. Она охватывает средние и крупные организации в критических секторах — от энергетики и здравоохранения до питьевого водоснабжения и цифровой инфраструктуры. Под её действие подпадают также провайдеры облачных услуг, услуг центров обработки данных и социальные сети.
Практическое правило: компании с 50 и более сотрудниками или оборотом 10 млн € в год в одном из 18 определённых секторов должны исходить из того, что подпадают под действие, и надлежащим образом это документировать. Обязанности по цепочке поставок могут также означать, что более мелкие поставщики становятся косвенно обязанными.
Существенные и важные организации
Немецкий закон о реализации (BSIG) различает две категории. Существенные организации (250 и более сотрудников или оборот 50 млн € в особо критических секторах, таких как энергетика, транспорт или здравоохранение) подчиняются более строгим требованиям и проактивному надзору. Важные организации (50–249 сотрудников) надзираются реактивно, но обязаны выполнять те же технические меры.
Ключевые обязанности с первого взгляда
- Риск-менеджмент: выявление и оценка киберрисков с документированной концепцией
- Меры безопасности: контроль доступа, шифрование, защита цепочек поставок
- Уведомление об инцидентах: первичное сообщение в BSI в течение 24 часов, последующее — через 72 часа
- Обязанности руководства: личная ответственность и активный контроль мер
- Обучение: регулярное обучение руководства и сотрудников
Личная ответственность руководства
Ключевое отличие от прежних правил: закон о реализации NIS2 (BSIG) устанавливает личную ответственность руководства компании. Тот, кто не контролирует активно внедрение мер кибербезопасности, несёт личную ответственность — независимо от любой корпоративной страховки. Могут налагаться штрафы до 10 млн € или 2 % от глобального годового оборота.
Проверка BSI как первый шаг
Затронута ли ваша компания, можно быстро выяснить с помощью официального инструмента проверки применимости от BSI — Федерального ведомства по информационной безопасности Германии. Он запрашивает ваш сектор, численность персонала и оборот и даёт первичную оценку. Формальная обязанность зарегистрироваться в BSI действует с момента вступления в силу национальной реализации BSIG.
Passendes Tool
Обеспечьте соответствие NIS2 до того, как к вам постучится BSI.
Проверить сейчас в BSI →Häufige Fragen
Затронута ли моя компания NIS2, если у нас менее 50 сотрудников?
Компании с менее чем 50 сотрудниками, как правило, не затронуты NIS2 напрямую. Исключение: организации критической инфраструктуры (KRITIS) и провайдеры определённых цифровых услуг могут подпадать под действие независимо от размера. Как поставщик вы также можете быть по договору вовлечены в обязанности NIS2.
Каковы обязанности уведомления о происшествии с безопасностью по NIS2?
Затронутые организации обязаны сообщать о значимых происшествиях в BSI без необоснованной задержки, по возможности в течение 24 часов, в качестве раннего предупреждения. Полный отчёт с первичной оценкой следует в течение 72 часов. Итоговый отчёт должен быть представлен не позднее чем через месяц.
Когда закон о реализации NIS2 (BSIG) полностью вступает в силу в Германии?
Германия перенесла директиву NIS2 в национальное право новым BSIG. Затронутые компании обязаны выполнить требования немедленно при вступлении в силу и зарегистрироваться в BSI.
Чем NIS2 отличается от первоначальной директивы NIS?
NIS2 расширяет охваченные секторы с 7 до 18, снижает пороги, вводит личную ответственность руководства и существенно ужесточает санкции. Штрафы возрастают с прежнего максимума в 100 000 € до 10 млн € или 2 % оборота.