NIS2 në 2027: udhërrëfyes përputhshmërie për kompanitë

11 nëntor 2026 nga

METANOW SHPK, Gleni Isaku

NIS2 nuk është më një projekt për më vonë. Direktiva e BE-së duhej transpozuar deri më 17 tetor 2024, ligji gjerman i zbatimit vlen që nga 6 dhjetori 2025 dhe ai austriak që nga 1 tetori 2026. Për shumë kompani të mesme, 2027 do të jetë viti kur autoritetet kalojnë nga regjistrimi te kontrolli nëse masat e sigurisë funksionojnë vërtet.

Ky udhëzues shpjegon çfarë vlen sot, çfarë ndryshon në 2027 dhe çfarë është vetëm propozim. Kërkimi u kontrollua më 11 nëntor 2026. Ky është informacion i përgjithshëm, jo këshillë ligjore; konfirmoni klasifikimin e kompanisë suaj me një avokat ose me këshilltarin tuaj të përputhshmërisë.

Përgjigjja e shkurtër

Nëse kompania juaj ka të paktën 50 punonjës, ose më shumë se 10 milionë euro qarkullim vjetor dhe bilanc, dhe vepron në një nga sektorët e NIS2, ka shumë gjasa që të përfshihet. Duhet të regjistroheni pranë autoritetit kombëtar, të zbatoni masa të dokumentuara të menaxhimit të rrezikut, të raportoni incidentet e rëndësishme brenda 24 orëve dhe të siguroheni që drejtuesit miratojnë, mbikëqyrin dhe trajnohen për sigurinë kibernetike. Edhe nëse jeni shumë të vegjël për t’u përfshirë, klientët që janë nën NIS2 do t’ju kalojnë shumë nga këto kërkesa përmes kontratave.

Ku qëndron NIS2 (nëntor 2026)

16 janar 2023: hyn në fuqi Direktiva NIS2, (BE) 2022/2555.
17 tetor 2024: afati që shtetet anëtare ta transpozonin. Italia e zbaton dekretin e saj që nga 16 tetori 2024; shumica e vendeve u vonuan.
6 dhjetor 2025: hyn në fuqi ligji gjerman i zbatimit të NIS2 (NIS2UmsuCG) dhe ligji i ri për BSI-në vlen për rreth 29.500 kompani dhe institucione.
6 mars 2026: skadon afati ligjor që subjektet gjermane të regjistrohen pranë BSI-së. Regjistrimi i vonuar mbetet i detyrueshëm.
8 korrik 2026: Komisioni Evropian dërgon Irlandën, Spanjën, Francën dhe Holandën në Gjykatën e Drejtësisë të BE-së, sepse nuk njoftuan transpozimin e plotë.
1 tetor 2026: në Austri hyn në fuqi NISG 2026, me regjistrim deri në fund të vitit 2026.

Përmbledhja e transpozimit nga Komisioni rendit ligjet kombëtare vend pas vendi. Aty ku ligji kombëtar ende mungon, detyrimet e direktivës nuk i detyrojnë drejtpërdrejt kompanitë, por do t’i detyrojnë sapo ligji të zbatohet, zakonisht pa një periudhë të gjatë tranzitore.

A vlen NIS2 për kompaninë tuaj?

NIS2 përdor tri kritere: sektorin, madhësinë dhe, në disa raste, llojin e shërbimit pavarësisht madhësisë.

Sektorët: Aneksi I (sektorë shumë kritikë) përfshin energjinë, transportin, bankat, infrastrukturat e tregjeve financiare, shëndetësinë, ujin e pijshëm, ujërat e ndotura, infrastrukturën digjitale, menaxhimin e shërbimeve TIK, administratën publike dhe hapësirën. Aneksi II përfshin shërbimet postare dhe korrier, menaxhimin e mbetjeve, kiminë, ushqimin, prodhimin e pajisjeve mjekësore, elektronikës, makinerive dhe automjeteve, ofruesit digjitalë dhe kërkimin.
Madhësia: kompanitë e mesme me të paktën 50 punonjës ose më shumë se 10 milionë euro qarkullim dhe bilanc zakonisht përfshihen. Kompanitë e mëdha me 250 ose më shumë punonjës, ose më shumë se 50 milionë euro qarkullim dhe 43 milionë euro bilanc, në një sektor të Aneksit I zakonisht janë subjekte thelbësore.
Pavarësisht madhësisë: ofruesit e kualifikuar të shërbimeve të besimit, ofruesit e shërbimeve DNS, regjistrat e domeneve të nivelit të parë dhe ofruesit e komunikimeve elektronike publike përfshihen edhe kur janë të vegjël.
Zinxhiri i furnizimit: një kompani që nuk përfshihet e ndjen gjithsesi NIS2 kur një klient i përfshirë kërkon klauzola sigurie, prova dhe njoftim incidentesh në kontratat me furnitorët.

Ofruesit e shërbimeve IT të menaxhuara, ofruesit e sigurisë së menaxhuar, ofruesit e cloud computing dhe operatorët e qendrave të të dhënave bëjnë pjesë në sektorët e infrastrukturës digjitale ose të menaxhimit të shërbimeve TIK. Nëse strehoni ose operoni sisteme për të tjerët, kontrollojeni me kujdes.

Çfarë kërkon NIS2

Neni 21 i direktivës dhe § 30 i ligjit gjerman për BSI-në kërkojnë masa teknike dhe organizative të përshtatshme, proporcionale dhe të dokumentuara. Të paktën ato duhet të mbulojnë:

analizën e rrezikut dhe politikat e sigurisë së informacionit;
trajtimin e incidenteve;
vazhdimësinë e biznesit, përfshirë menaxhimin e kopjeve rezervë, rikuperimin pas fatkeqësive dhe menaxhimin e krizave;
sigurinë e zinxhirit të furnizimit, përfshirë marrëdhëniet me furnitorët dhe ofruesit e drejtpërdrejtë të shërbimeve;
sigurinë gjatë blerjes, zhvillimit dhe mirëmbajtjes së sistemeve, përfshirë trajtimin dhe zbulimin e dobësive;
procedurat për të vlerësuar nëse masat janë efektive;
higjienën bazë kibernetike dhe trajnimin për sigurinë kibernetike;
politikat për kriptografinë dhe, kur është e përshtatshme, enkriptimin;
sigurinë e burimeve njerëzore, kontrollin e aksesit dhe menaxhimin e aseteve;
autentifikimin me shumë faktorë ose të vazhdueshëm dhe komunikimet e mbrojtura, kur është e përshtatshme.

Për ofruesit cloud, qendrat e të dhënave, ofruesit e shërbimeve të menaxhuara, tregjet online dhe ofrues të ngjashëm digjitalë, Rregullorja Zbatuese (BE) 2024/2690 i përcakton këto masa në detaje dhe tregon kur një incident konsiderohet i rëndësishëm.

Raportimi i incidenteve: 24 orë, 72 orë, një muaj

Për një incident të rëndësishëm, § 32 i ligjit gjerman për BSI-në ndjek modelin me tri faza të direktivës:

një paralajmërim të hershëm pa vonesë të panevojshme dhe jo më vonë se 24 orë pasi merrni dijeni, duke treguar nëse dyshohet veprim keqdashës ose ndikim ndërkufitar;
një njoftim incidenti brenda 72 orëve me një vlerësim të parë të rëndësisë dhe ndikimit dhe, kur ka, treguesit e komprometimit;
një raport përfundimtar jo më vonë se një muaj pas njoftimit, ose një raport progresi nëse incidenti vazhdon ende.

Njëzet e katër orë janë pak. Afati nis kur merrni dijeni, prandaj kush e klasifikon incidentin, kush e raporton dhe përmes cilit portal duhet vendosur para se të ndodhë diçka.

Drejtuesit janë përgjegjës

Sipas § 38 të ligjit gjerman për BSI-në, drejtuesit e subjekteve të përfshira duhet t’i zbatojnë masat e menaxhimit të rrezikut dhe të mbikëqyrin zbatimin e tyre. Drejtuesit që e shkelin këtë detyrim mbajnë përgjegjësi ndaj kompanisë sipas rregullave të së drejtës tregtare për formën e saj juridike, dhe duhet të marrin rregullisht trajnime për të njohur dhe vlerësuar rreziqet kibernetike. Siguria kibernetike nuk mund t’i delegohet më tërësisht departamentit IT.

Gjobat dhe mbikëqyrja

Direktiva parashikon gjoba maksimale prej të paktën 10 milionë euro ose 2% të qarkullimit vjetor botëror për subjektet thelbësore dhe 7 milionë euro ose 1,4% për subjektet e rëndësishme. Në Gjermani, § 65 i ligjit për BSI-në i zbaton kufijtë në përqindje vetëm për kompanitë me mbi 500 milionë euro qarkullim total; mosregjistrimi mund të kushtojë deri në 500.000 euro. Subjektet thelbësore mbikëqyren në mënyrë proaktive, ndërsa ato të rëndësishme kryesisht pasi ka shenja mospërputhjeje.

Gjermania: çfarë do të thotë NIS2UmsuCG në praktikë

Regjistrimi në Gjermani bëhet në dy hapa: fillimisht një llogari në “Mein Unternehmenskonto”, që përdor certifikatat ELSTER për organizata, pastaj regjistrimi në portalin e BSI-së, i hapur më 6 janar 2026. Afati ligjor skadoi më 6 mars 2026, tre muaj pas hyrjes në fuqi të ligjit. Sipas faqes së BSI-së për detyrimet NIS-2, subjektet duhet të regjistrohen jo më vonë se tre muaj pasi përfshihen për herë të parë në NIS2 dhe të njoftojnë ndryshimet brenda dy javëve.

Operatorët e impianteve kritike kanë një detyrim shtesë: duhet t’i provojnë masat e tyre çdo tre vjet përmes auditimeve, inspektimeve ose certifikimeve, në një datë të caktuar nga BSI. Për të gjithë të tjerët, 2027 do të jetë viti kur analizat e rrezikut, dokumentacioni dhe proceset e raportimit duhet të ekzistojnë kur BSI t’i kërkojë.

Austria dhe Italia: afatet në 2027

Në Austri, NISG 2026 vlen që nga 1 tetori 2026. Subjektet thelbësore dhe të rëndësishme duhet të regjistrohen përmes portalit të shërbimeve për biznesin USP; Zyra Federale për Sigurinë Kibernetike përmend 31 dhjetorin 2026 si datë përfundimtare, ndërsa rregulli i tre muajve në ligj mund të shkojë deri më 4 janar 2027. Mosregjistrimi mund të sjellë gjoba deri në 50.000 euro, ose 100.000 euro në rast përsëritjeje.

Në Itali, Dekreti Legjislativ 138/2024 vlen që nga 16 tetori 2024. Subjektet e shtuara për herë të parë në listën NIS në 2026 duhet të raportojnë incidentet e rëndësishme nga 1 janari 2027, që do të thotë të caktojnë një kontakt CSIRT deri në fund të 2026, dhe duhet të miratojnë masat bazë të sigurisë deri më 31 korrik 2027, sipas Agjencisë Kombëtare të Sigurisë Kibernetike (ACN). Subjektet e listuara në 2025 raportojnë që nga janari 2026.

Çfarë mund të ndryshojë në 2027 dhe çfarë është vetëm propozim

Dy propozime të Komisionit do ta ndryshonin NIS2: ndryshimet e synuara në COM(2026) 13 të 20 janarit 2026, për fushën e zbatimit, rregullat e madhësisë dhe regjistrimin, dhe Digital Omnibus COM(2025) 837, që propozon raportim më të thjeshtë të incidenteve. Më 21 tetor 2026 Këshilli ra dakord për qëndrimin e tij mbi Digital Omnibus dhe e zëvendësoi portalin e vetëm të BE-së me pika hyrëse kombëtare. Asnjë nga propozimet nuk është ligj; Parlamenti Evropian nuk ka votuar ende, dhe Komisioni duhet ta rishikojë NIS2 deri më 17 tetor 2027. Planifikoni sipas rregullave në fuqi, jo sipas draftëve. Nëse përdorni edhe AI, udhëzuesi ynë për Aktin e BE-së për AI në 2027 mbulon afatet paralele për AI.

Një udhërrëfyes për 2027 për kompanitë e mesme

1. Konfirmoni nëse përfshiheni dhe regjistrohuni

Krahasoni sektorin tuaj me Aneksin I dhe II, llogaritni punonjësit dhe qarkullimin sipas përkufizimit të BE-së për NVM-të, i cili mund të përfshijë kompani partnere dhe të lidhura, dhe dokumentoni rezultatin edhe nëse arrini në përfundimin se nuk përfshiheni. Nëse përfshiheni dhe nuk jeni regjistruar ende, regjistrohuni tani. Një regjistrim i vonuar është më mirë se asnjë.

2. Bëni një analizë rreziku dhe mangësish

Hartëzoni shërbimet kritike, sistemet pas tyre dhe furnitorët nga të cilët varen. Krahasoni gjendjen aktuale me dhjetë masat minimale dhe regjistroni mangësitë me një përgjegjës dhe një afat. Ky është dokumenti i parë që do t’ju kërkojë një autoritet ose një klient.

3. Bëjeni raportimin e incidenteve funksional në praktikë

Përcaktoni çfarë është një incident i rëndësishëm për kompaninë tuaj, kush vendos, kush raporton dhe kush flet me klientët. Bëni një ushtrim me një rast realist, si ransomware ose ndërprerje e hostingut. Artikulli ynë se si i menaxhojmë ndërprerjet, gabimet 500 dhe malware tregon si duken orët e para në praktikë.

4. Siguroni kopjet rezervë, aksesin dhe përditësimet

Përdorni autentifikim me shumë faktorë për çdo akses administrativ dhe në distancë, mbani kopje rezervë offline ose të pandryshueshme të testuara dhe përditësoni shpejt sistemet e ekspozuara në internet. Zgjedhja mes hostingut të menaxhuar dhe hostingut të përbashkët ka rëndësi këtu, sepse vendos kush është përgjegjës për përditësimet, monitorimin dhe rikuperimin.

5. Menaxhoni furnitorët

Listoni furnitorët që mund të ndikojnë në shërbimet tuaja kritike, kërkoni prova si certifikata ISO/IEC 27001 ose raporte auditimi dhe shtoni në kontrata klauzola sigurie dhe njoftimi incidentesh. Për zgjedhjen e cloud-it, vendndodhja e të dhënave dhe mbështetja janë pjesë e rrezikut; shihni krahasimin tonë Hetzner, AWS dhe Azure për NVM-të.

6. Trajnoni drejtuesit dhe stafin

Planifikoni trajnime të rregullta për drejtuesit, siç kërkon ligji, dhe seanca të shkurtra ndërgjegjësimi sipas rolit për stafin. Mbani regjistrat e pjesëmarrjes. Phishing-u dhe kredencialet e vjedhura mbeten rruga më e zakonshme e hyrjes.

7. Dokumentoni, matni dhe rishikoni

Mbani politikat, vendimet për rrezikun, regjistrat e trajnimeve dhe të incidenteve në një vend, përcaktoni disa tregues si kohët e përditësimeve dhe rezultatet e testeve të kopjeve rezervë, dhe rishikojini çdo gjashtë muaj. Nëse nuk keni njerëz për këtë, një ofrues i shërbimeve IT të menaxhuara mund të marrë përsipër monitorimin dhe operimin, por përgjegjësia ligjore mbetet te drejtuesit tuaj.

Si ndihmon Metanow

Metanow punon në projekte cloud, hostingu dhe ERP që nga viti 2022, dhe Metanow Cloud strehon faqe interneti dhe aplikacione për më shumë se 10.000 biznese. Ndihmojmë kompanitë e mesme në anën teknike të NIS2: hosting i menaxhuar me monitorim, kopje rezervë dhe përditësime, akses me shumë faktorë, regjistrim aktivitetesh, regjistra asetesh dhe furnitorësh në Odoo dhe procese incidentesh të automatizuara me n8n. Nuk jemi studio ligjore as organ certifikimi; punojmë bashkë me këshilltarin tuaj ligjor dhe audituesin që dokumentacioni të përputhet me sistemet.

Pyetje të shpeshta

A vlen NIS2 për kompanitë me më pak se 50 punonjës?

Zakonisht jo drejtpërdrejt. NIS2 mbulon kompanitë e mesme dhe të mëdha në sektorët e listuar, por disa ofrues përfshihen pavarësisht madhësisë, si ofruesit e shërbimeve DNS, regjistrat e domeneve të nivelit të parë, ofruesit e kualifikuar të shërbimeve të besimit dhe ofruesit e komunikimeve elektronike publike. Furnitorët e vegjël preken edhe tërthorazi përmes kontratave me klientët.

Cilat janë afatet e raportimit të incidenteve sipas NIS2?

Një incident i rëndësishëm duhet raportuar me një paralajmërim të hershëm brenda 24 orëve nga marrja dijeni, një njoftim brenda 72 orëve dhe një raport përfundimtar jo më vonë se një muaj pas njoftimit. Në Gjermani këto afate janë në § 32 të ligjit për BSI-në.

A është vonë për regjistrimin në NIS2 në Gjermani?

Afati ligjor për subjektet e përfshira kur ligji hyri në fuqi ishte 6 marsi 2026, por regjistrimi mbetet i detyrueshëm dhe BSI vazhdon ta pranojë. Regjistrohuni sa më shpejt përmes Mein Unternehmenskonto dhe portalit të BSI-së, sepse mosregjistrimi mund të gjobitet deri në 500.000 euro.

Çfarë gjobash NIS2 rrezikon një kompani e mesme?

Sipas direktivës, maksimumi është të paktën 10 milionë euro ose 2% e qarkullimit botëror për subjektet thelbësore dhe 7 milionë euro ose 1,4% për subjektet e rëndësishme. Në Gjermani kufijtë në përqindje vlejnë vetëm mbi 500 milionë euro qarkullim total, dhe drejtuesit mund të mbajnë përgjegjësi ndaj kompanisë nëse nuk i mbikëqyrin masat.

A do të ndryshojë NIS2 në 2027?

Dy propozime, COM(2026) 13 dhe Digital Omnibus, do të ndryshonin fushën e zbatimit, regjistrimin dhe raportimin e incidenteve, dhe Komisioni duhet ta rishikojë direktivën deri më 17 tetor 2027. Deri në nëntor 2026 asnjë propozim nuk është miratuar, prandaj kompanitë duhet të zbatojnë rregullat në fuqi.

Përgatitni udhërrëfyesin tuaj NIS2 për 2027

Metanow mund të shqyrtojë hostingun dhe infrastrukturën tuaj IT, të mbyllë mangësi teknike si kopjet rezervë, përditësimet dhe aksesi me shumë faktorë, dhe të ndërtojë regjistra asetesh, furnitorësh dhe incidentesh në Odoo me automatizime n8n. Punojmë bashkë me këshilltarin tuaj ligjor, që dokumentacioni dhe sistemet të tregojnë të njëjtën histori.

Rezervoni një takim fillestar Kontaktoni Metanow

Burime zyrtare

në Cloud Solutions

Dëshironi ndihmë për ta zbatuar në biznesin tuaj?

Ekipi ynë i kthen këto ide në uebfaqe, marketing, automatizime dhe sisteme ERP që funksionojnë. Le të flasim për atë që ka vërtet rëndësi për ju.

Rezervoni një takim

NIS2 në 2027: udhërrëfyes përputhshmërie për kompanitë e mesme