NIS2 w Niemczech: co to jest NIS2UmsuCG (2026)

W skrócie: Niemcy wdrożyły dyrektywę NIS2 z opóźnieniem, ale bardzo rygorystycznie. Ustawa o wdrożeniu NIS2 (NIS2UmsuCG) oraz nowa ustawa o BSI (BSIG) obowiązują od 6 grudnia 2025 r., bez żadnego okresu przejściowego. Zakresem tych przepisów objętych jest około 29 500 organizacji, podzielonych na podmioty „szczególnie ważne” (besonders wichtige) i „ważne” (wichtige). Musiały zarejestrować się w BSI w ciągu trzech miesięcy, czyli do 6 marca 2026 r.; szacuje się, że do połowy 2026 r. około 10 500 z nich wciąż tego nie zrobiło. Rejestracja jest obowiązkowa, kary sięgają 10 mln euro lub 2% globalnego obrotu, a kierownictwo ponosi osobistą odpowiedzialność. W tym przewodniku wyjaśniamy, kogo to dotyczy, czego oczekuje BSI i co zrobić, jeśli się spóźnisz.

Kalendarium: jak doszło do obecnej sytuacji w Niemczech

Kogo to dotyczy: niemiecki zakres

Oficjalne źródła: strona informacyjna BSI poświęcona NIS2 dla firm podlegających regulacjom (w języku niemieckim) oraz bezpłatne narzędzie do samooceny NIS2 (Betroffenheitsprüfung) pozwolą ci w ciągu dziesięciu minut sprawdzić, czy przepis ten dotyczy twojej firmy. Tekst ustawy znajdziesz w nowej wersji BSIG 2025 na stronie gesetze-im-internet.de.

BSIG opiera się na logice NIS2, ale używa własnych terminów:

• Podmioty o szczególnym znaczeniu (besonders wichtige Einrichtungen): duże firmy (ponad 250 pracowników lub 50 mln euro obrotu i 43 mln euro sumy bilansowej) w sektorach o wysokim stopniu krytyczności (energetyka, transport, bankowość, infrastruktura rynków finansowych, opieka zdrowotna, gospodarka wodna, gospodarka ściekowa, infrastruktura cyfrowa, zarządzanie usługami ICT, administracja publiczna, przemysł kosmiczny), a także operatorzy infrastruktury krytycznej (KRITIS) niezależnie od wielkości, kwalifikowani dostawcy usług zaufania, rejestry domen najwyższego poziomu (TLD) i dostawcy usług DNS.
• Ważne podmioty (wichtige Einrichtungen): średnie przedsiębiorstwa (ponad 50 pracowników lub 10 mln euro obrotu i sumy bilansowej) w sektorach o wysokim stopniu krytyczności oraz średnie i duże przedsiębiorstwa w pozostałych sektorach krytycznych (usługi pocztowe i kurierskie, gospodarka odpadami, przemysł chemiczny, spożywczy, produkcja urządzeń medycznych, maszyn, pojazdów i elektroniki, dostawcy usług cyfrowych, badania naukowe).
• Administracja federalna: uregulowana osobno w BSIG, z własnymi obowiązkami.

BSI szacuje, że ogółem chodzi o około 29 500 organizacji, z których większość to „ważne” podmioty z branży produkcyjnej. BSI udostępnia internetowy test samooceny (Betroffenheitsprüfung); zgodnie z prawem powinieneś sam ocenić swoją sytuację, a nie czekać na pismo.

Obowiązki wynikające z BSIG

1. Rejestracja w BSI

W ciągu trzech miesięcy od momentu objęcia obowiązkiem, za pośrednictwem portalu BSI oraz konta firmowego „Mein Unternehmenskonto”: dane firmy, branża, dane kontaktowe, zakresy adresów IP oraz państwa członkowskie, w których prowadzisz działalność. Zmiany trzeba zgłaszać w ciągu dwóch tygodni. Termin dla podmiotów objętych obowiązkiem od pierwszego dnia upływał 6 marca 2026 r. Jeśli się jeszcze nie zarejestrowałeś, zrób to teraz; obowiązek ten nie wygasa, a późniejsza dobrowolna rejestracja jest traktowana łagodniej niż wykrycie naruszenia.

2. Środki zarządzania ryzykiem (§ 30 BSIG)

Dziesięć minimalnych środków NIS2, proporcjonalnych do ryzyka: analiza ryzyka i polityki bezpieczeństwa, reagowanie na incydenty, ciągłość działania i tworzenie kopii zapasowych, bezpieczeństwo łańcucha dostaw, bezpieczne zamówienia i rozwój, ocena skuteczności, higiena cyberbezpieczeństwa i szkolenia z cyberbezpieczeństwa, kryptografia, kontrola dostępu i zarządzanie zasobami oraz uwierzytelnianie wieloskładnikowe i bezpieczna komunikacja. Podmioty o szczególnym znaczeniu muszą też stosować systemy wykrywania ataków, jeśli są operatorami KRITIS.

3. Zgłaszanie zdarzeń (§ 32 BSIG)

Wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin, raport końcowy w ciągu miesiąca – wszystko za pośrednictwem portalu sprawozdawczego BSI. Za „poważne” zdarzenia uznaje się te, które powodują poważne zakłócenia w działalności lub straty finansowe albo mają wpływ na inne podmioty.

4. Obowiązki kierownictwa (§ 38 BSIG)

Kierownictwo musi zatwierdzać i nadzorować środki zarządzania ryzykiem oraz regularnie uczestniczyć w szkoleniach z zakresu cyberbezpieczeństwa. Zgodnie z niemieckim prawem spółek menedżerowie ponoszą osobistą odpowiedzialność za naruszenie tego obowiązku; BSIG wyraźnie wyklucza możliwość zrzeczenia się tej odpowiedzialności przez firmę.

5. Dowody i nadzór

BSI może żądać informacji i dowodów, zlecać audyty, a w przypadku podmiotów o szczególnym znaczeniu prowadzić nadzór proaktywny. Kary mogą sięgać 10 mln euro lub 2% globalnego obrotu w przypadku podmiotów o szczególnym znaczeniu oraz 7 mln euro lub 1,4% w przypadku podmiotów ważnych.

Przegapiłeś termin rejestracji? Zrób tak

1. Przeprowadź jeszcze dzisiaj autokontrolę BSI i zapisz wynik, nawet jeśli dojdziesz do wniosku, że nie podlegasz tym wymogom.
2. Jeśli to dotyczy Ciebie, zarejestruj się od razu. Lepiej późno niż wcale, a sama rejestracja zajmuje mniej niż godzinę, gdy masz już konto firmowe.
3. Oceń luki w świetle § 30. Większość niemieckich małych i średnich przedsiębiorstw stwierdza trzy luki: bezpieczeństwo łańcucha dostaw, udokumentowane postępowanie w razie incydentów oraz szkolenia bez potwierdzenia ich odbycia.
4. Zapisz to w dzienniku szkoleniowym. Wymaga tego § 38, a to pierwsza rzecz, o którą pyta audytor. Cotygodniowe zadania Guardey’a obejmują śledzenie postępów kadry kierowniczej oraz sporządzanie raportów z realizacji zadań na osobę.
5. Sprawdź, jak przebiega procedura zgłaszania w ciągu 24 godzin. Kto to zauważa, kto podejmuje decyzję, a kto to zgłasza? Przećwicz to raz.

Szkolenia jako dowód: co akceptuje BSI

Ani dyrektywa, ani BSIG nie określają konkretnego formatu, ale trzeba udowodnić, że odbyło się „szkolenie z cyberhigieny i cyberbezpieczeństwa”. Roczna prezentacja z listą obecności to słaby dowód; mocnym dowodem jest natomiast ciągły program szkoleniowy z danymi o ukończeniu szkoleń przez każdego pracownika, wynikami symulacji phishingu oraz dokumentacją szkoleń dla kadry kierowniczej. Szkolenie Guardey z zakresu świadomości bezpieczeństwa jest dostępne w języku niemieckim, trwa trzy minuty tygodniowo, obejmuje symulacje phishingu i generuje raporty zgodne z NIS2, ISO 27001 i innymi standardami.

Często zadawane pytania

Czy NIS2 już obowiązuje w Niemczech?

Tak. Przepisy NIS2UmsuCG i nowej dyrektywy BSIG obowiązują od 6 grudnia 2025 r. Nie ma okresu przejściowego.

Kto musi zarejestrować się w BSI?

Każdy podmiot o szczególnym znaczeniu oraz każdy ważny podmiot – w ciągu trzech miesięcy od momentu objęcia go zakresem rozporządzenia. Dla organizacji objętych zakresem rozporządzenia w dniu 6 grudnia 2025 r. termin upłynął 6 marca 2026 r. Jeśli go przegapiłeś, nadal musisz się zarejestrować.

Jaka jest różnica między „besonders wichtig” a „wichtig”?

Wielkość i sektor. Duże firmy z sektorów o wysokim stopniu krytyczności oraz operatorzy KRITIS są „szczególnie ważne” (nadzór proaktywny, wyższe kary); średnie firmy z tych sektorów oraz średnie i duże firmy z pozostałych sektorów są „ważne” (nadzór reaktywny).

Czy w Niemczech przepisy NIS2 wymagają przeszkolenia pracowników?

Tak. § 30 BSIG wymienia szkolenia z zakresu higieny cyfrowej i cyberbezpieczeństwa wśród obowiązkowych środków, a § 38 nakłada na kierownictwo obowiązek uczestnictwa w takich szkoleniach.

Gdzie mogę znaleźć oficjalny tekst?

Rozporządzenie NIS2UmsuCG zostało opublikowane w Federalnym Dzienniku Ustaw (BGBl. 2025 I nr 301). Na stronach BSI poświęconych NIS-2 znajdziesz narzędzie do samodzielnej oceny, portal rejestracyjny oraz najczęściej zadawane pytania. Jeśli chcesz poznać sytuację na poziomie UE, zajrzyj do naszego przewodnika po NIS2 z 2026 roku oraz do artykułu „NIS1 a NIS2”.