Czego § 30 BSIG wymaga od niemieckich firm objętych ustawą?

Odpowiednich, proporcjonalnych i skutecznych środków technicznych i organizacyjnych, udokumentowanych i obejmujących co najmniej dziesięć obszarów. § 30 ust. 1 wymaga od podmiotów szczególnie ważnych i ważnych środków zapobiegających zakłóceniom dostępności, integralności i poufności systemów IT, komponentów i procesów, których używają do świadczenia usług, oraz minimalizujących skutki incydentów bezpieczeństwa. Proporcjonalność uwzględnia stopień narażenia na ryzyko, wielkość podmiotu, koszty wdrożenia oraz prawdopodobieństwo i wagę incydentów i ich skutki społeczne i gospodarcze. Spełnianie obowiązku trzeba dokumentować. Według § 30 ust. 2 środki powinny odpowiadać stanowi techniki i uwzględniać odpowiednie normy europejskie i międzynarodowe, a muszą opierać się na podejściu uwzględniającym wszystkie zagrożenia; przepis wymienia też obszary minimalne, odpowiadające art. 21 ust. 2 NIS2NIS2: druga unijna dyrektywa w sprawie bezpieczeństwa sieci i informacji. Unijne prawo o cyberbezpieczeństwie (dyrektywa (UE) 2022/2555), które nakłada na wiele firm obowiązki bezpieczeństwa i zgłaszania incydentów., od analizy ryzyka i obsługi incydentów po uwierzytelnianie wieloskładnikowe. Dla niektórych dostawców cyfrowych pierwszeństwo ma unijny akt wykonawczy (§ 30 ust. 3).

Informacja ogólna, nie porada prawna. Przepisy krajowe mogą uzupełniać cytowane tu akty UE, na przykład o terminy, formularze czy kanały zgłoszeń: sprawdź przepisy swojego kraju.

← Wszystkie pytania (15): Niemcy: BSIGWszystkie tematy