# Duitsland: BSIG (FAQ)

> 15 vragen over Duitsland: BSIG, in gewone taal: wat u controleert, wat NetSenX laat zien en wat een sensor niet ziet.

Source page: https://netsenx.com/nl/faq/germany

## Waar worden NIS2-incidenten in Duitsland gemeld?

Bij het gezamenlijke meldpunt (gemeinsame Meldestelle) van het BSI en het Bundesamt für Bevölkerungsschutz und Katastrophenhilfe (BBK), bereikbaar via het BSI-portaal. § 32 lid 1 BSIG legt de stappen vast: een vroege eerste melding binnen 24 uur na kennisname van een significant incident, een melding binnen 72 uur, een tussentijdse melding op verzoek van het BSI en een eindmelding uiterlijk een maand na de 72-uursmelding. Loopt het incident op dat moment nog, dan is in plaats daarvan een voortgangsmelding verschuldigd, en volgt de eindmelding als het incident is afgehandeld (§ 32 lid 2). De plicht geldt op zijn vroegst vanaf het moment dat het meldkanaal is ingericht. Volgens § 36 bevestigt het BSI de ontvangst onverwijld en zo mogelijk binnen 24 uur, en biedt het op verzoek oriëntatie over herstelmaatregelen.

https://netsenx.com/nl/faq/where-are-nis2-incidents-reported-in-germany

## Wanneer moeten Duitse bedrijven zich bij het BSI registreren?

Volgens § 33 lid 1 BSIG registreren bijzonder belangrijke en belangrijke entiteiten zich uiterlijk drie maanden nadat ze voor het eerst of opnieuw als zodanig gelden, via de registratievoorziening van het BSI en het BBK. Ze geven naam en rechtsvorm op, adres en contactgegevens inclusief publieke IP-adresreeksen, hun sector, de lidstaten waar ze diensten verlenen en hun toezichthouders. Exploitanten van kritieke installaties registreren zich in plaats daarvan volgens § 8 van de KRITIS-Dachgesetz (§ 33 lid 2), maar pas wanneer de verordening die kritieke installaties op grond van die wet aanwijst in werking is; tot dan houdt § 66 de eerdere tekst van § 33 lid 2 van kracht, dus volg de actuele aanwijzingen van het BSI. Wijzigingen moeten onverwijld en uiterlijk binnen twee weken worden doorgegeven (§ 33 lid 5). Registreert een entiteit zich niet, dan kan het BSI dat in overeenstemming met de toezichthouders zelf doen (§ 33 lid 3), en gegevens niet, onjuist of te laat aanleveren is een overtreding waarvoor volgens § 65 een boete tot 500.000 euro kan gelden. Bewaar de registratiebevestiging bij uw NIS2-documentatie.

https://netsenx.com/nl/faq/when-must-german-companies-register-with-the-bsi

## Welke Duitse bedrijven vallen onder de nieuwe BSIG?

Vooral bedrijven van de soorten entiteiten in de bijlagen 1 en 2 van de BSIG die de omvangdrempels van § 28 halen, plus sommige entiteiten ongeacht hun omvang. Volgens § 28 lid 1 zijn bijzonder belangrijke entiteiten onder meer exploitanten van kritieke installaties, gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinen en DNS-dienstverleners, en bedrijven van een soort entiteit uit bijlage 1 met ten minste 250 medewerkers of meer dan 50 miljoen euro omzet en meer dan 43 miljoen euro balanstotaal. Volgens lid 2 zijn belangrijke entiteiten onder meer overige verleners van vertrouwensdiensten en bedrijven van een soort entiteit uit bijlage 1 of 2 met ten minste 50 medewerkers of meer dan 10 miljoen euro aan zowel omzet als balanstotaal. Verwaarloosbare nevenactiviteiten mogen buiten beschouwing blijven (lid 3), en cijfers van partner- of verbonden ondernemingen tellen niet mee als het bedrijf qua IT onafhankelijk is (lid 4). Het BSI biedt op zijn website een zelftest.

https://netsenx.com/nl/faq/which-german-companies-fall-under-the-bsig

## Wat is in Duitsland het verschil tussen een bijzonder belangrijke en een belangrijke entiteit?

Vooral omvang, sector en toezicht, niet de kernplichten. De Duitse wet gebruikt in § 28 BSIG de begrippen besonders wichtige Einrichtung (bijzonder belangrijke entiteit) en wichtige Einrichtung (belangrijke entiteit); ze komen overeen met de essentiële en belangrijke entiteiten uit NIS2. Beide moeten de risicobeheermaatregelen van § 30 nemen, significante incidenten volgens § 32 melden, zich volgens § 33 registreren en de bestuursplichten van § 38 nakomen. De verschillen liggen in toezicht en boetes: het BSI kan bijzonder belangrijke entiteiten op eigen initiatief controleren, audits laten uitvoeren en bewijs eisen (§ 61), terwijl het bij belangrijke entiteiten optreedt als feiten op niet-naleving wijzen (§ 62); de maximale boetes van § 65 zijn hoger voor bijzonder belangrijke entiteiten. Exploitanten van kritieke installaties, altijd bijzonder belangrijk, hebben extra plichten, zoals systemen voor aanvalsdetectie (§ 31) en regelmatig bewijs (§ 39).

https://netsenx.com/nl/faq/what-is-a-particularly-important-entity-in-germany

## Waarom vraagt de BSI-registratie naar onze publieke IP-adresreeksen?

Omdat § 33 lid 1 BSIG ze rekent tot de contactgegevens die entiteiten moeten aanleveren, zodat het BSI waarschuwingen aan de juiste organisatie kan koppelen. Als het BSI of een partner merkt dat een adres in uw reeks deel uitmaakt van een botnet, een kwetsbare dienst aanbiedt of wordt aangevallen, moet het weten van wie dat adres is om u snel te waarschuwen. In de praktijk kennen veel bedrijven hun reeksen niet uit het hoofd: ze kunnen door de internetprovider zijn toegewezen, over locaties zijn verdeeld of over clouddiensten verspreid. Verzamel ze uit providercontracten en routerconfiguratie, leg vast welke reeks bij welke locatie hoort en houd de lijst actueel, want wijzigingen moeten volgens § 33 lid 5 binnen twee weken worden gemeld. De registratie geeft niemand het recht die adressen te scannen of aan te vallen. NetSenX registreert u niet, maar het netwerkbeeld toont welke interne apparaten via welke adressen naar buiten communiceren.

https://netsenx.com/nl/faq/why-does-bsi-registration-ask-for-public-ip-ranges

## Wat gebeurt er als we ons niet bij het BSI registreren?

Het BSI kan u zelf registreren, documenten opvragen, en een boete is mogelijk. Volgens § 33 lid 3 BSIG kan het BSI de registratie in overeenstemming met de bevoegde toezichthouders zelf uitvoeren als een entiteit dat nalaat. Wijzen feiten erop dat een entiteit haar registratieplicht niet is nagekomen, dan moet ze volgens lid 4 op verzoek de stukken en inlichtingen leveren die het BSI voor de beoordeling nodig heeft. De vereiste gegevens niet, onjuist, onvolledig of te laat aanleveren is een overtreding volgens § 65 lid 2 nr. 6, waarvoor volgens § 65 lid 5 een boete tot 500.000 euro kan worden opgelegd. Niet registreren schort ook de andere plichten niet op: risicobeheer en meldplichten gelden omdat u aan de criteria voldoet, niet omdat u geregistreerd bent. Twijfelt u of u eronder valt, gebruik dan de zelftest van het BSI en leg de uitkomst vast.

https://netsenx.com/nl/faq/what-happens-if-we-do-not-register-with-the-bsi

## Wat is een systeem voor aanvalsdetectie (System zur Angriffserkennung) volgens de BSIG?

Processen, ondersteund door technische hulpmiddelen en organisatorische inbedding, die aanvallen op IT-systemen opsporen door de verwerkte gegevens te vergelijken met informatie en technische patronen die op aanvallen wijzen. Zo luidt de definitie in § 2 nr. 41 BSIG. § 31 lid 2 verplicht exploitanten van kritieke installaties zulke systemen in te zetten voor de IT-systemen, componenten en processen die bepalend zijn voor het functioneren van hun kritieke installaties; de systemen moeten geschikte parameters en kenmerken uit de lopende bedrijfsvoering continu en automatisch verzamelen en evalueren, zouden dreigingen moeten kunnen identificeren en vermijden en herstelmaatregelen moeten voorzien, en moeten de stand van de techniek volgen tegen kosten die in verhouding staan tot de gevolgen van uitval. De definitie benadrukt de organisatorische inbedding: een tool waar niemand naar kijkt, voldoet niet. Netwerkdetectie zoals NetSenX kan een technische component zijn; de processen, rollen en respons eromheen zijn aan u.

https://netsenx.com/nl/faq/what-is-a-system-for-attack-detection-under-the-bsig

## Geldt de plicht tot aanvalsdetectie ook voor Duitse mkb-bedrijven?

Niet rechtstreeks: § 31 lid 2 BSIG geldt alleen voor exploitanten van kritieke installaties. Andere bijzonder belangrijke en belangrijke entiteiten, waaronder veel middelgrote bedrijven, vallen onder de algemene risicobeheermaatregelen van § 30, die passende, evenredige en doeltreffende maatregelen vragen om verstoringen te voorkomen en gevolgen van incidenten te beperken, inclusief het afhandelen van beveiligingsincidenten (§ 30 lid 2 nr. 2). § 30 noemt aanvalsdetectie niet, maar incidenten afhandelen en de 24-uursstap van § 32 halen is lastig zonder een manier om ze op te merken; veel entiteiten zetten daarom detectie in naar verhouding van hun risico. Klanten die kritieke installaties exploiteren, kunnen het ook contractueel van leveranciers eisen. Leg vast waarom de gekozen detectie bij uw omvang en blootstelling past. NetSenX biedt netwerkdetectie in elk abonnement, ook in Free, en zegt wat het niet ziet.

https://netsenx.com/nl/faq/does-the-attack-detection-duty-apply-to-smes-in-germany

## Wat eist § 30 BSIG van Duitse bedrijven die eronder vallen?

Passende, evenredige en doeltreffende technische en organisatorische maatregelen, gedocumenteerd en ten minste tien gebieden dekkend. Volgens § 30 lid 1 moeten bijzonder belangrijke en belangrijke entiteiten maatregelen nemen om verstoringen van de beschikbaarheid, integriteit en vertrouwelijkheid van de IT-systemen, componenten en processen die ze voor hun diensten gebruiken te voorkomen, en de gevolgen van beveiligingsincidenten zo klein mogelijk te houden. Voor de evenredigheid tellen de risicoblootstelling, de omvang van de entiteit, de uitvoeringskosten en de kans op en ernst van incidenten en hun maatschappelijke en economische gevolgen. De naleving moet worden gedocumenteerd. Volgens lid 2 horen de maatregelen de stand van de techniek te volgen en relevante Europese en internationale normen mee te nemen, en moeten ze op een benadering van alle gevaren berusten; het lid noemt de minimale gebieden, overeenkomstig artikel 21, lid 2, van NIS2, van risicoanalyse en incidentafhandeling tot multifactorauthenticatie. Voor bepaalde digitale aanbieders gaat de EU-uitvoeringshandeling voor (lid 3).

https://netsenx.com/nl/faq/what-does-section-30-bsig-require

## Welke boetes kent de Duitse BSIG?

Tot 10 miljoen euro voor bijzonder belangrijke en 7 miljoen euro voor belangrijke entiteiten bij de belangrijkste overtredingen, met omzetgebonden maxima voor grote bedrijven. § 65 lid 5 BSIG legt die maxima vast voor overtredingen zoals het niet nemen van de risicobeheermaatregelen van § 30, het niet documenteren ervan, onjuiste of te late meldingen volgens § 32 en bepaalde informatieplichten van § 35. Voor entiteiten met een totale wereldwijde omzet van meer dan 500 miljoen euro stijgt het maximum tot 2% van de omzet bij bijzonder belangrijke en 1,4% bij belangrijke entiteiten (lid 6 en 7). Andere overtredingen hebben lagere maxima, bijvoorbeeld tot 500.000 euro voor onjuiste of te late registratie en tot 100.000 euro voor enkele andere. Het zijn maxima: het werkelijke bedrag hangt van het geval af. Daarbovenop komt via § 38 de aansprakelijkheid van het bestuur volgens het vennootschapsrecht.

https://netsenx.com/nl/faq/what-are-the-fines-under-the-bsig

## Zijn Duitse bestuurders persoonlijk aansprakelijk onder de BSIG?

Ja, tegenover de onderneming, volgens de regels van het vennootschapsrecht. § 38 lid 1 BSIG verplicht het bestuur van bijzonder belangrijke en belangrijke entiteiten de risicobeheermaatregelen van § 30 uit te voeren en op de uitvoering toe te zien. Volgens lid 2 zijn bestuurders die deze plichten schenden tegenover hun entiteit aansprakelijk voor schuldig veroorzaakte schade volgens de vennootschapsrechtelijke regels voor haar rechtsvorm; alleen als het vennootschapsrecht zo'n regel niet kent, regelt de BSIG zelf de aansprakelijkheid. Voor een GmbH of AG betekent dat de bekende maatstaven van een zorgvuldig bestuurder. Daarnaast kan de toezichthouder bij bijzonder belangrijke entiteiten als uiterste middel onbetrouwbare bestuurders tijdelijk verbieden hun functie uit te oefenen als bevelen van het BSI niet worden opgevolgd (§ 61 lid 9). Documenteer goedkeuringen, beoordelingen en trainingen, en controleer of uw bestuurdersaansprakelijkheidsverzekering zulke claims dekt.

https://netsenx.com/nl/faq/are-german-managing-directors-liable-under-the-bsig

## Moet het bestuur in Duitsland volgens de BSIG cyberbeveiligingstraining volgen?

Ja, regelmatig. § 38 lid 3 BSIG verplicht het bestuur van bijzonder belangrijke en belangrijke entiteiten regelmatig aan trainingen deel te nemen, om voldoende kennis en vaardigheden te verwerven om risico's en risicobeheerpraktijken in informatiebeveiliging te herkennen en te beoordelen, en hun gevolgen voor de diensten van de entiteit te kunnen inschatten. De wet noemt geen aantal uren, vorm of certificaat; kies dus een training die bij sector en omvang past en herhaal die met een redelijke tussenpoos, bijvoorbeeld jaarlijks en na grote veranderingen in dreiging of wetgeving. De plicht geldt persoonlijk voor de bestuursleden; delegeren aan de IT-manager voldoet niet. Bewaar deelnamebewijzen en programma: het BSI kan naleving van § 38 lid 3 meenemen in audits die het volgens § 61 lid 1 bij bijzonder belangrijke entiteiten laat uitvoeren, en bij belangrijke entiteiten optreden volgens § 62.

https://netsenx.com/nl/faq/must-german-management-attend-cyber-security-training

## Wat doet het BSI nadat we een incidentmelding hebben ingediend?

Het bevestigt de ontvangst en kan helpen, en in sommige gevallen kan het u verplichten het publiek te informeren of dat zelf doen. Volgens § 36 lid 1 BSIG stuurt het BSI de meldende entiteit onverwijld en zo mogelijk binnen 24 uur een ontvangstbevestiging, en geeft het op verzoek oriëntatie of operationeel advies over herstelmaatregelen; op verzoek kan het ook extra technische ondersteuning bieden. Is volgens lid 2 bewustwording bij het publiek nodig om een significant incident te voorkomen of te beheersen, of is openbaarmaking anderszins in het algemeen belang, dan kan het BSI de entiteit na horen verplichten het publiek te informeren, of het publiek zelf informeren. Het BSI gebruikt meldingen ook om anderen te waarschuwen en het nationale beeld op te bouwen. Vrijwillige meldingen en informatie-uitwisseling scheppen geen extra plichten die anders niet zouden gelden (§ 30 lid 7). Bewaar een kopie van alles wat u indiende.

https://netsenx.com/nl/faq/what-does-the-bsi-do-after-we-submit-a-report

## Volgen banken en andere financiële entiteiten onder DORA in Duitsland de BSIG-plichten?

Voor de kernplichten van NIS2 grotendeels niet: zij volgen DORA. § 28 lid 6 BSIG bepaalt dat §§ 30, 31, 32, 35, 36, 38 en 39, over risicobeheer, aanvalsdetectie, incidentmelding, informatieplichten, bestuursplichten en bewijs, niet gelden voor financiële entiteiten in de zin van artikel 2, lid 2, van Verordening (EU) 2022/2554 (DORA) en niet voor ondernemingen waarvoor de DORA-eisen gelden via de Duitse bankwet of de wet op het verzekeringstoezicht. Hun ICT-risicobeheer en incidentmeldingen vallen onder DORA en het financiële toezicht. Andere bepalingen van de BSIG, zoals registratie volgens § 33, staan niet in die lijst, dus controleer die apart. ICT-leveranciers van deze financiële entiteiten worden door deze regel niet vrijgesteld: vallen ze zelf onder de BSIG, dan geldt die voor hen, en DORA bereikt hen via hun contracten.

https://netsenx.com/nl/faq/do-dora-financial-entities-follow-the-bsig-duties

## Mag het BSI ons bedrijf auditen?

Ja, als u eronder valt, op een manier die van uw categorie afhangt. Bij bijzonder belangrijke entiteiten kan het BSI audits, controles of certificeringen door onafhankelijke instanties laten uitvoeren om risicobeheermaatregelen, meldplichten en bestuurstraining te toetsen (§ 61 lid 1 BSIG); op zijn vroegst drie jaar na inwerkingtreding kan het ook van andere bijzonder belangrijke entiteiten bewijs van naleving eisen (lid 3); en het kan de naleving zelf controleren, met het recht om tijdens gewone werktijden bedrijfsruimten te betreden en stukken in te zien (lid 5). Bij belangrijke entiteiten controleert het BSI en kan het dezelfde maatregelen nemen als feiten erop wijzen dat plichten niet worden nagekomen (§ 62). Exploitanten van kritieke installaties moeten elke drie jaar bewijs leveren via audits, controles of certificeringen (§ 39). Houd uw documentatie van de maatregelen van § 30 gereed; lid 1 eist die toch al.

https://netsenx.com/nl/faq/can-the-bsi-audit-our-company

Algemene informatie, geen juridisch advies. Nationale wetten kunnen de hier aangehaalde EU-teksten aanvullen, bijvoorbeeld met termijnen, formulieren of meldkanalen: controleer de regels van uw eigen land.

FAQ: https://netsenx.com/nl/faq