Niemcy: BSIG

Do wspólnego punktu zgłoszeń (gemeinsame Meldestelle) BSI i Federalnego Urzędu Ochrony Ludności i Pomocy w Przypadku Katastrof (BBK), dostępnego przez portal BSI. § 32 ust. 1 BSIG określa etapy: wczesne pierwsze zgłoszenie w ciągu 24 godzin od uzyskania wiedzy o poważnym incydencie, zgłoszenie w ciągu 72 godzin, zgłoszenie pośrednie na żądanie BSI oraz zgłoszenie końcowe najpóźniej miesiąc po zgłoszeniu 72-godzinnym. Jeśli w tym momencie incydent nadal trwa, zamiast zgłoszenia końcowego składa się zgłoszenie o postępach, a końcowe po zakończeniu obsługi incydentu (§ 32 ust. 2). Obowiązek obowiązuje najwcześniej od uruchomienia kanału zgłoszeń. Zgodnie z § 36 BSI niezwłocznie, w miarę możliwości w ciągu 24 godzin, potwierdza otrzymanie zgłoszenia, a na wniosek udziela wskazówek co do działań zaradczych.

Zgodnie z § 33 ust. 1 BSIG podmioty szczególnie ważne i ważne rejestrują się najpóźniej trzy miesiące po tym, jak po raz pierwszy lub ponownie zaczną się do nich zaliczać, przez mechanizm rejestracji utworzony przez BSI i BBK. Podają nazwę i formę prawną, adres i dane kontaktowe, w tym publiczne zakresy adresów IP, sektor, państwa członkowskie, w których działają, i właściwe organy nadzoru. Operatorzy instalacji krytycznych będą rejestrować się zamiast tego na podstawie § 8 KRITIS-Dachgesetz (§ 33 ust. 2), ale dopiero gdy wejdzie w życie rozporządzenie określające instalacje krytyczne na podstawie tej ustawy; do tego czasu § 66 utrzymuje dotychczasowe brzmienie § 33 ust. 2, więc stosuj się do aktualnych wskazówek BSI. Zmiany trzeba zgłaszać niezwłocznie, najpóźniej w ciągu dwóch tygodni od powzięcia o nich wiedzy (§ 33 ust. 5). Jeśli podmiot się nie zarejestruje, BSI może zarejestrować go sam w porozumieniu z organami nadzoru (§ 33 ust. 3), a nieprzekazanie danych prawidłowo lub w terminie jest wykroczeniem administracyjnym zagrożonym grzywną do 500 000 EUR na podstawie § 65. Potwierdzenie rejestracji warto przechowywać razem z dokumentacją NIS2.

Głównie firmy z rodzajów podmiotów wymienionych w załącznikach 1 i 2 BSIG, które osiągają progi wielkości z § 28, oraz niektóre podmioty niezależnie od wielkości. Zgodnie z § 28 ust. 1 podmiotami szczególnie ważnymi są m.in. operatorzy instalacji krytycznych, kwalifikowani dostawcy usług zaufania, rejestry domen najwyższego poziomu i dostawcy usług DNS oraz firmy z rodzaju podmiotów z załącznika 1 zatrudniające co najmniej 250 osób albo mające ponad 50 mln EUR obrotu i ponad 43 mln EUR sumy bilansowej. Zgodnie z § 28 ust. 2 podmiotami ważnymi są m.in. pozostali dostawcy usług zaufania oraz firmy z rodzajów podmiotów z załącznika 1 lub 2 zatrudniające co najmniej 50 osób albo mające ponad 10 mln EUR zarówno obrotu, jak i sumy bilansowej. Nieistotne działalności poboczne można pominąć (§ 28 ust. 3), a danych przedsiębiorstw partnerskich lub powiązanych się nie dolicza, jeśli firma jest niezależna w zakresie IT (§ 28 ust. 4). BSI publikuje na swojej stronie test samooceny.

Głównie wielkością, sektorem i nadzorem, a nie podstawowymi obowiązkami. Niemiecka ustawa używa w § 28 BSIG pojęć besonders wichtige Einrichtung (podmiot szczególnie ważny) i wichtige Einrichtung (podmiot ważny); odpowiadają one podmiotom kluczowym i ważnym z NIS2. Oba rodzaje muszą stosować środki zarządzania ryzykiem z § 30, zgłaszać poważne incydenty zgodnie z § 32, rejestrować się zgodnie z § 33 i spełniać obowiązki kierownictwa z § 38. Różnice dotyczą nadzoru i kar: BSI może sprawdzać podmioty szczególnie ważne z własnej inicjatywy, zlecać audyty i żądać dowodów (§ 61), a wobec ważnych działa, gdy fakty wskazują na naruszenia (§ 62); kary maksymalne z § 65 są wyższe dla podmiotów szczególnie ważnych. Operatorzy instalacji krytycznych, zawsze szczególnie ważni, mają dodatkowe obowiązki, w tym systemy wykrywania ataków (§ 31) i regularne dowody (§ 39).

Bo § 33 ust. 1 BSIG wymienia je wśród danych kontaktowych, które podmioty muszą przekazać, żeby BSI mogło przypisywać ostrzeżenia właściwej organizacji. Gdy BSI lub partner dowie się, że adres z Twojego zakresu należy do botnetu, udostępnia podatną usługę lub jest atakowany, musi wiedzieć, czyj to adres, żeby szybko ostrzec. W praktyce wiele firm nie zna swoich zakresów z pamięci: mogą być przydzielone przez dostawcę internetu, rozdzielone między lokalizacje albo rozproszone w usługach chmurowych. Warto zebrać je z umów z dostawcami i konfiguracji routerów, zapisać, które należą do której lokalizacji, i utrzymywać listę aktualną, bo zmiany trzeba zgłaszać w ciągu dwóch tygodni zgodnie z § 33 ust. 5. Rejestracja nie upoważnia nikogo do skanowania ani atakowania tych adresów. NetSenX nie rejestruje firmy, ale widok sieci pokazuje, które urządzenia wewnętrzne łączą się ze światem przez jakie adresy.

BSI może zarejestrować firmę samo, zażądać dokumentów, a możliwa jest też grzywna. Zgodnie z § 33 ust. 3 BSIG BSI może przeprowadzić rejestrację w porozumieniu z właściwymi organami nadzoru, jeśli podmiot tego nie zrobi. Zgodnie z § 33 ust. 4, jeśli fakty wskazują, że podmiot nie wypełnił obowiązku rejestracji, musi na żądanie przedstawić dokumenty i informacje potrzebne BSI do oceny. Nieprzekazanie wymaganych danych albo przekazanie ich nieprawidłowo, niekompletnie lub z opóźnieniem jest wykroczeniem administracyjnym z § 65 ust. 2 pkt 6, za które grozi grzywna do 500 000 EUR zgodnie z § 65 ust. 5. Brak rejestracji nie zawiesza też innych obowiązków: środki zarządzania ryzykiem i obowiązki zgłoszeń obowiązują dlatego, że firma spełnia kryteria, a nie dlatego, że się zarejestrowała. W razie wątpliwości co do zakresu warto skorzystać z testu samooceny BSI i udokumentować wynik.

To procesy wspierane narzędziami technicznymi i osadzone organizacyjnie, które wykrywają ataki na systemy IT przez porównywanie przetwarzanych w nich danych z informacjami i wzorcami technicznymi wskazującymi na ataki. Tak definiuje to § 2 pkt 41 BSIG. § 31 ust. 2 wymaga od operatorów instalacji krytycznych stosowania takich systemów dla systemów IT, komponentów i procesów decydujących o funkcjonowaniu ich instalacji krytycznych; systemy muszą w sposób ciągły i automatyczny zbierać i oceniać odpowiednie parametry i cechy z bieżącej pracy, powinny umieć identyfikować i unikać zagrożeń oraz przewidywać środki zaradcze, a także odpowiadać najnowszemu stanowi techniki przy koszcie proporcjonalnym do skutków awarii. Definicja podkreśla osadzenie organizacyjne: narzędzie, którego nikt nie obserwuje, jej nie spełnia. Wykrywanie sieciowe, takie jak NetSenX, może być jednym z komponentów technicznych; procesy, role i reakcja wokół niego należą do Ciebie.

Nie bezpośrednio: § 31 ust. 2 BSIG dotyczy wyłącznie operatorów instalacji krytycznych. Pozostałe podmioty szczególnie ważne i ważne, w tym wiele średnich firm, podlegają ogólnym środkom zarządzania ryzykiem z § 30, które wymagają odpowiednich, proporcjonalnych i skutecznych środków zapobiegających zakłóceniom i ograniczających skutki incydentów, w tym obsługi incydentów bezpieczeństwa (§ 30 ust. 2 pkt 2). § 30 nie wymienia wykrywania ataków, ale bez sposobu zauważania incydentów trudno je obsługiwać i dotrzymać 24-godzinnego etapu zgłoszeń z § 32, więc wiele podmiotów stosuje wykrywanie proporcjonalne do ryzyka. Klienci będący operatorami krytycznymi mogą też wymagać wykrywania od dostawców w umowie. Warto udokumentować, dlaczego wybrane wykrywanie pasuje do wielkości i narażenia firmy. NetSenX oferuje wykrywanie sieciowe w każdym planie, także Free, i mówi, czego nie widzi.

Odpowiednich, proporcjonalnych i skutecznych środków technicznych i organizacyjnych, udokumentowanych i obejmujących co najmniej dziesięć obszarów. § 30 ust. 1 wymaga od podmiotów szczególnie ważnych i ważnych środków zapobiegających zakłóceniom dostępności, integralności i poufności systemów IT, komponentów i procesów, których używają do świadczenia usług, oraz minimalizujących skutki incydentów bezpieczeństwa. Proporcjonalność uwzględnia stopień narażenia na ryzyko, wielkość podmiotu, koszty wdrożenia oraz prawdopodobieństwo i wagę incydentów i ich skutki społeczne i gospodarcze. Spełnianie obowiązku trzeba dokumentować. Według § 30 ust. 2 środki powinny odpowiadać stanowi techniki i uwzględniać odpowiednie normy europejskie i międzynarodowe, a muszą opierać się na podejściu uwzględniającym wszystkie zagrożenia; przepis wymienia też obszary minimalne, odpowiadające art. 21 ust. 2 NIS2, od analizy ryzyka i obsługi incydentów po uwierzytelnianie wieloskładnikowe. Dla niektórych dostawców cyfrowych pierwszeństwo ma unijny akt wykonawczy (§ 30 ust. 3).

Do 10 mln EUR dla podmiotów szczególnie ważnych i 7 mln EUR dla podmiotów ważnych za główne naruszenia, z maksimum zależnym od obrotu dla dużych firm. § 65 ust. 5 BSIG ustala te górne granice dla naruszeń takich jak niewdrożenie środków zarządzania ryzykiem z § 30, ich niedokumentowanie, nieprawidłowe lub nieterminowe zgłaszanie incydentów zgodnie z § 32 oraz niektóre obowiązki informacyjne z § 35. Dla podmiotów z całkowitym światowym obrotem powyżej 500 mln EUR maksimum rośnie do 2% obrotu dla podmiotów szczególnie ważnych i 1,4% dla ważnych (§ 65 ust. 6 i 7). Inne naruszenia mają niższe granice, na przykład do 500 000 EUR za nieprawidłową lub spóźnioną rejestrację i do 100 000 EUR za niektóre inne. To kwoty maksymalne: faktyczna wysokość zależy od sprawy. Dodatkowo, przez § 38, dochodzi odpowiedzialność kierownictwa według prawa spółek.

Tak, wobec spółki, według zasad prawa spółek. § 38 ust. 1 BSIG zobowiązuje kierownictwo podmiotów szczególnie ważnych i ważnych do wdrażania środków zarządzania ryzykiem z § 30 i nadzoru nad ich wdrażaniem. Zgodnie z § 38 ust. 2 członkowie kierownictwa naruszający te obowiązki odpowiadają wobec podmiotu za zawinioną szkodę według przepisów prawa spółek właściwych dla jego formy prawnej; dopiero gdy prawo spółek nie zawiera takiej regulacji, odpowiedzialność przewiduje sama BSIG. W przypadku GmbH lub AG oznacza to znane standardy starannego członka zarządu. Ponadto wobec podmiotów szczególnie ważnych organ nadzoru może w ostateczności czasowo zakazać nierzetelnym członkom kierownictwa pełnienia funkcji, jeśli polecenia BSI nie są wykonywane (§ 61 ust. 9). Warto dokumentować zatwierdzenia, przeglądy i szkolenia oraz sprawdzić, czy polisa D&O obejmuje takie roszczenia.

Tak, regularnie. § 38 ust. 3 BSIG wymaga od kierownictwa podmiotów szczególnie ważnych i ważnych regularnego udziału w szkoleniach, by zdobyć wystarczającą wiedzę i umiejętności do rozpoznawania i oceny ryzyk i praktyk zarządzania ryzykiem w bezpieczeństwie informacji oraz do oceny ich wpływu na usługi świadczone przez podmiot. Ustawa nie określa liczby godzin, formy ani certyfikatu, więc trzeba wybrać szkolenie dopasowane do sektora i wielkości firmy i powtarzać je w rozsądnych odstępach, na przykład co roku i po dużych zmianach w obrazie zagrożeń lub w przepisach. Obowiązek jest osobisty dla członków kierownictwa, więc przekazanie go kierownikowi IT go nie spełnia. Warto zachować zaświadczenia o udziale i program: BSI może uwzględnić przestrzeganie § 38 ust. 3 w audytach, które zleca podmiotom szczególnie ważnym na podstawie § 61 ust. 1, a wobec ważnych działać na podstawie § 62.

Potwierdza otrzymanie i może pomóc, a w niektórych przypadkach może zobowiązać firmę albo samo poinformować opinię publiczną. Zgodnie z § 36 ust. 1 BSIG BSI przesyła podmiotowi zgłaszającemu niezwłocznie, w miarę możliwości w ciągu 24 godzin, potwierdzenie otrzymania zgłoszenia, a na wniosek udziela wskazówek lub doradztwa operacyjnego co do działań zaradczych; na wniosek może też zapewnić dodatkowe wsparcie techniczne. Zgodnie z § 36 ust. 2, jeśli dla zapobieżenia poważnemu incydentowi lub jego opanowania potrzebna jest świadomość opinii publicznej albo ujawnienie leży w interesie publicznym, BSI może po wysłuchaniu podmiotu zobowiązać go do poinformowania opinii publicznej lub poinformować ją samo. BSI wykorzystuje też zgłoszenia, by ostrzegać innych i budować obraz sytuacji w kraju. Zgłoszenie nie tworzy nowych obowiązków, które inaczej by nie obowiązywały: § 30 ust. 7 mówi to wprost o zgłoszeniach dobrowolnych i wymianie informacji. Kopię wszystkiego, co wysłano, warto zachować.

W większości nie, jeśli chodzi o podstawowe obowiązki NIS2: zamiast nich stosują DORA. § 28 ust. 6 BSIG stanowi, że § 30, 31, 32, 35, 36, 38 i 39, obejmujące środki zarządzania ryzykiem, wykrywanie ataków, zgłaszanie incydentów, obowiązki informacyjne, obowiązki kierownictwa i dowody, nie mają zastosowania do podmiotów finansowych w rozumieniu art. 2 ust. 2 rozporządzenia (UE) 2022/2554 (DORA) ani do firm, do których wymogi DORA stosuje się na podstawie niemieckiego prawa bankowego lub ustawy o nadzorze ubezpieczeniowym. Ich zarządzanie ryzykiem ICT i zgłaszanie incydentów reguluje DORA, a nadzoruje nadzór finansowy. Inne przepisy BSIG, jak rejestracja z § 33, nie są na tej liście, więc trzeba je sprawdzić osobno. Ten przepis nie zwalnia dostawców ICT tych podmiotów: jeśli sami podlegają BSIG, stosują ją, a DORA dociera do nich przez umowy.

Tak, jeśli firma podlega ustawie, w sposób zależny od kategorii. Wobec podmiotów szczególnie ważnych BSI może nakazać audyty, kontrole lub certyfikacje przez niezależne podmioty w celu sprawdzenia środków zarządzania ryzykiem, obowiązków zgłoszeń i szkoleń kierownictwa (§ 61 ust. 1 BSIG); po upływie trzech lat od wejścia ustawy w życie może żądać dowodów spełniania obowiązków od pozostałych podmiotów szczególnie ważnych (§ 61 ust. 3); może też sam kontrolować przestrzeganie przepisów, z prawem wejścia do pomieszczeń firmy w zwykłych godzinach pracy i wglądu w dokumenty (§ 61 ust. 5). Wobec podmiotów ważnych BSI sprawdza przestrzeganie przepisów i może podjąć te same środki, gdy fakty wskazują na niewypełnianie obowiązków (§ 62). Operatorzy instalacji krytycznych muszą co trzy lata przedstawiać dowody w formie audytów, kontroli lub certyfikacji (§ 39). Dokumentację środków z § 30 warto mieć gotową, bo § 30 ust. 1 i tak jej wymaga.