Czy obowiązek wykrywania ataków dotyczy w Niemczech MŚP?
Nie bezpośrednio: § 31 ust. 2 BSIG dotyczy wyłącznie operatorów instalacji krytycznych. Pozostałe podmioty szczególnie ważne i ważne, w tym wiele średnich firm, podlegają ogólnym środkom zarządzania ryzykiem z § 30, które wymagają odpowiednich, proporcjonalnych i skutecznych środków zapobiegających zakłóceniom i ograniczających skutki incydentów, w tym obsługi incydentów bezpieczeństwa (§ 30 ust. 2 pkt 2). § 30 nie wymienia wykrywania ataków, ale bez sposobu zauważania incydentów trudno je obsługiwać i dotrzymać 24-godzinnego etapu zgłoszeń z § 32, więc wiele podmiotów stosuje wykrywanie proporcjonalne do ryzyka. Klienci będący operatorami krytycznymi mogą też wymagać wykrywania od dostawców w umowie. Warto udokumentować, dlaczego wybrane wykrywanie pasuje do wielkości i narażenia firmy. NetSenX oferuje wykrywanie sieciowe w każdym planie, także Free, i mówi, czego nie widzi.
Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.
Czytaj dalej
Powiązane pytania
- Czego § 30 BSIG wymaga od niemieckich firm objętych ustawą?
- Jakie kary przewiduje niemiecka ustawa BSIG?
- Czy członkowie zarządu w Niemczech odpowiadają osobiście na gruncie BSIG?
- Czy kierownictwo w Niemczech musi odbywać szkolenia z cyberbezpieczeństwa na podstawie BSIG?
- Co robi BSI po otrzymaniu naszego zgłoszenia incydentu?