Infrastruktura krytyczna:
dowody zgodności i wykrywanie ataków dla operatorów w Niemczech
Jakie obowiązki mają dziś operatorzy KRITIS w Niemczech?
Obowiązki w zakresie IT określa niemiecka ustawa BSIG w brzmieniu obowiązującym od 6 grudnia 2025 r. Operatorzy obiektów krytycznych rejestrują się w BSI (§ 33), wdrażają minimalne środki z § 30, zgłaszają poważne incydenty bezpieczeństwa w trzech etapach: w ciągu 24 godzin, w ciągu 72 godzin i po miesiącu (§ 32) oraz wykazują wdrożenie przed BSI (§ 39).
Do tego dochodzi niemiecka ustawa ramowa KRITIS-Dachgesetz, która reguluje przede wszystkim odporność fizyczną. Obowiązek rejestracji na jej podstawie obecnie jeszcze nie istnieje: według niemieckiego Federalnego Urzędu Ochrony Ludności i Pomocy w Przypadku Katastrof (BBK) rozporządzenie określające obiekty krytyczne jest wciąż w przygotowaniu i uzgodnieniach (BBK, FAQ do KRITIS-Dachgesetz, po niemiecku). Nie opisujemy tu polskich przepisów o infrastrukturze krytycznej ani o cyberbezpieczeństwie. Szczegóły niemieckiej ustawy BSIG opisuje nasza strona o dyrektywie NIS2 (po angielsku).
Jak wykazać stan urządzeń mobilnych?
Za pomocą danych z bieżącej eksploatacji zamiast wyrywkowych kontroli. ISEC7 SPHERE zapewnia monitorowanie i zarządzanie środowiskami UEM niezależnie od producenta, także gdy równolegle działa kilka systemów UEM, i pokazuje stan poprawek oraz znane podatności urządzeń.
Jeśli ISEC7 obsługuje Państwa środowisko mobilne jako usługę zarządzaną, otrzymują Państwo raporty o eksploatacji, stanie poprawek i incydentach, które można wykorzystać jako dowody. Nie przenosi to obowiązków wynikających z ustawy BSIG na usługodawcę; pozostają one po stronie organizacji. Więcej o ISEC7 SPHERE
Kto wykrywa ataki, jeśli nie mają Państwo własnego SOC?
Zewnętrzne centrum operacji bezpieczeństwa, które monitoruje systemy przez całą dobę. Według BSI największe zaległości operatorów ujawnione podczas weryfikacji dowodów na podstawie § 39 BSIG dotyczą systemów wykrywania ataków (BSI-Magazin 2026/01 i raport miesięczny BSI za lipiec 2026 r.).
ISEC7 świadczy usługę Managed Detection and Response z SOC działającym 24/7/365 za pośrednictwem partnera Arctic Wolf. Arctic Wolf prowadzi SOC, według własnych informacji we Frankfurcie, ocenia alarmy i zgłasza potwierdzone incydenty wraz z zaleceniami. ISEC7 łączy Państwa środowisko mobilne z wykrywaniem. Zalecenia wdrażają Państwo sami lub my: poprawki, konfiguracje i zasady w UEM. O tym, czy incydent jest poważny i podlega zgłoszeniu, decyduje Państwa organizacja. Więcej o Endpoint Security
Najczęstsze pytania o infrastrukturę krytyczną w Niemczech
Czy trzeba się już rejestrować na podstawie niemieckiej ustawy KRITIS-Dachgesetz?
Nie, obecnie nie. Według niemieckiego urzędu BBK obowiązek rejestracji na podstawie KRITIS-Dachgesetz jeszcze nie istnieje, ponieważ rozporządzenie określające obiekty krytyczne jest wciąż w przygotowaniu i uzgodnieniach. Analiza ryzyka i środki odporności stają się wymagalne po raz pierwszy dziewięć lub dziesięć miesięcy po rejestracji. Rejestracja w BSI na podstawie § 33 ustawy BSIG to odrębny obowiązek.
Czym różni się KRITIS-Dachgesetz od niemieckiej ustawy BSIG?
Ustawa BSIG reguluje bezpieczeństwo IT: zarządzanie ryzykiem, obowiązki zgłaszania i dowody przed BSI. KRITIS-Dachgesetz reguluje przede wszystkim odporność fizyczną obiektów krytycznych. Operator może podlegać obu ustawom, ale obowiązki i terminy biegną oddzielnie.
Czego wymaga § 30 niemieckiej ustawy BSIG w zakresie komunikacji?
§ 30 ust. 2 zd. 2 pkt 10 BSIG wymaga stosowania uwierzytelniania wieloskładnikowego lub ciągłego, zabezpieczonej komunikacji głosowej, wideo i tekstowej oraz w razie potrzeby zabezpieczonych systemów łączności alarmowej w organizacji. O tym, które rozwiązanie jest odpowiednie, organizacja decyduje na podstawie ekspozycji na ryzyko, wielkości i kosztów wdrożenia.
Czy obowiązki wynikające z ustawy BSIG można przenieść na usługodawcę?
Nie. Usługodawca może przejąć eksploatację, monitorowanie i raportowanie, ale obowiązki pozostają po stronie organizacji. Zgodnie z § 38 BSIG za wdrożenie środków zarządzania ryzykiem odpowiada kierownictwo, a zgłaszanie poważnych incydentów pozostaje zadaniem organizacji.
Jak szybko w Niemczech trzeba zgłosić poważny incydent bezpieczeństwa?
Zgodnie z § 32 ustawy BSIG w trzech etapach: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania wiedzy, zgłoszenie w ciągu 72 godzin ze wstępną oceną, w tym wagą incydentu i wskaźnikami kompromitacji, oraz raport końcowy po miesiącu. Do zgłoszenia po 72 godzinach potrzebne są więc już przeanalizowane dane z logów.
Kto prowadzi SOC, jeśli kupują Państwo Managed Detection and Response przez ISEC7?
Arctic Wolf. Według własnych informacji Arctic Wolf prowadzi centrum operacji bezpieczeństwa we Frankfurcie, otwarte w listopadzie 2021 r. ISEC7 łączy Państwa środowisko mobilne z wykrywaniem i na życzenie usuwa wykryte podatności w Państwa systemach.
Gdzie według BSI operatorzy KRITIS mają największe zaległości?
W systemach wykrywania ataków. Podczas weryfikacji dowodów na podstawie § 39 BSIG urząd BSI ocenia poziomy dojrzałości ISMS, BCMS i wykrywania ataków, przy czym wykrywanie ataków wypada najsłabiej. Najwięcej zgłoszeń zakłóceń pochodzi z sektora technologii informacyjnych i telekomunikacji (BSI-Magazin 2026/01 i raport miesięczny BSI za lipiec 2026 r.).
Porozmawiajmy o Państwa dowodach
Stan poprawek telefonów służbowych albo podłączenie do wykrywania ataków: prosimy o kontakt przez formularz, e-mailem na biuro@isec7.pl lub telefonicznie pod numerem +48 576318416. ISEC7 Poland w Łodzi jest agentem sprzedaży ISEC7, prowadzonym przez KROLYT sp. z o.o.