NIS 2 a organizacje badawcze
Załącznik II sektor 7 obejmuje organizacje badawcze, które prowadzą badania stosowane lub eksperymentalne prace rozwojowe na potrzeby komercyjnego wykorzystania. Uczelnie są domyślnie poza zakresem. Państwa członkowskie mogą rozszerzyć zakres.
Dlaczego istnieje ten artykuł
Załącznik II dyrektywy NIS 2 ((UE) 2022/2555) wymienia organizacje badawcze jako sektor 7. Kategoria mieści się w załączniku II, więc kwalifikujące się podmioty są klasyfikowane jako podmioty ważne (wichtige Einrichtungen).
Zakres jest węższy niż potoczne znaczenie badań. NIS 2 patrzy na jeden konkretny rodzaj działalności: badania stosowane lub eksperymentalne prace rozwojowe mające na celu uzyskanie wyników, które są następnie wykorzystywane komercyjnie. Badania podstawowe, czysta praca akademicka i działalność edukacyjna są domyślnie poza zakresem.
Strona przedstawia najpierw warstwę UE (załącznik II, artykuł 6(41), motyw 36, artykuł 2(5)(b), test wielkości z artykułu 2(1)), następnie niemieckie wdrożenie w §28 BSIG oraz praktyczne pułapki, które widzimy najczęściej, gdy podmioty badawcze przeprowadzają sprawdzenie zastosowania.
Załącznik II, sektor 7 (dyrektywa (UE) 2022/2555)
Organizacje badawcze
Załącznik II punkt 7 wymienia sektor z pojedynczym typem podmiotu „organizacje badawcze”. Definicja merytoryczna mieści się w artykule 6(41) i wyjaśnia ją motyw 36.
Artykuł 6(41), motyw 36 (dyrektywa (UE) 2022/2555)
„organizacja badawcza” oznacza podmiot, którego głównym celem jest prowadzenie badań stosowanych lub eksperymentalnych prac rozwojowych z myślą o wykorzystaniu wyników tych badań do celów komercyjnych, z wyłączeniem instytucji edukacyjnych.
Motyw 36 wyjaśnia, że organizacje badawcze koncentrują zasadniczą część swojej działalności na badaniach stosowanych lub eksperymentalnych pracach rozwojowych w rozumieniu podręcznika Frascati OECD, z myślą o komercyjnym wykorzystaniu wyników. Instytucje edukacyjne są wyłączone z definicji. Artykuł 2(5)(b) pozwala państwom członkowskim objąć dyrektywą „instytucje edukacyjne, zwłaszcza gdy prowadzą one działalność badawczą o krytycznym znaczeniu”.
§28 BSIG (NIS2UmsuCG, Niemcy)
Forschungseinrichtungen mit Sitz in Deutschland, die die in §28 Absatz 1 BSIG genannten Schwellenwerte erreichen oder überschreiten, gelten als wichtige Einrichtungen.
Niemcy transponują załącznik II sektor 7 do §28 BSIG. Podmiot pozostaje podmiotem ważnym (wichtige Einrichtung) i podlega pasmu kar z §65 BSIG do 7 milionów euro lub 1,4 procent globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa.
Badania stosowane z celem komercyjnym
Główną działalnością są badania stosowane lub eksperymentalne prace rozwojowe, z zamiarem komercyjnego wykorzystania wyników. Licencjonowanie, spółki typu spin-off, badania kontraktowe dla przemysłu lub sprzedaż prototypów to typowe sygnały. Badania napędzane czystą ciekawością, nauczanie i działalność popularyzatorska nie są nimi.
Średniej wielkości lub większy
Artykuł 2(1) NIS 2 stosuje próg z zalecenia UE 2003/361/WE. Podmiot osiąga go przy co najmniej 50 pracownikach lub przy rocznym obrocie i sumie bilansowej powyżej 10 milionów euro. Poniżej progu podmiot nie jest objęty zakresem, chyba że państwo członkowskie stosuje odstępstwo niezależne od wielkości.
Krajowe rozszerzenie na uczelnie
Państwa członkowskie mogą postanowić o objęciu zakresem instytucji edukacyjnych, w tym uczelni, poprzez prawo krajowe. Bez takiego rozszerzenia uczelnie są poza zakresem, nawet jeśli prowadzą duże jednostki badań stosowanych. To, czy dany kraj dokonał rozszerzenia, jest kwestią krajowego aktu transponującego.
Instytucje edukacyjne są domyślnie wyłączone
Artykuł 6(41) jest wyraźny: instytucja edukacyjna nie jest organizacją badawczą. Jednostka badawcza uczelni wykonująca prace kontraktowe dla przemysłu nie jest automatycznie objęta. Wyłączenie jest na poziomie instytucji, a nie projektu.
Źródło finansowania nie decyduje o zakresie
Definicja zależy od działalności (badania stosowane, komercyjne wykorzystanie), a nie od tego, kto płaci. Prywatnie finansowana badawcza GmbH i publicznie finansowany instytut Fraunhofera są oba w zakresie, jeśli spełniają definicję i test wielkości. Czysto publicznie finansowany instytut badań podstawowych nie jest w zakresie, ponieważ działalność jest niewłaściwa, a nie dlatego, że finansowanie jest publiczne.
BSI jako właściwy organ
Bundesamt für Sicherheit in der Informationstechnik (BSI) jest właściwym organem dla organizacji badawczych na podstawie §28 BSIG. Rejestracja przebiega przez portal BSI; obowiązki są identyczne jak dla innych podmiotów ważnych na podstawie §§30 do 32 BSIG.
Wytyczne ENISA
Wytyczne ENISA dotyczące technicznego wdrożenia (v1.2, sierpień 2025) traktują organizacje badawcze tak samo jak inne podmioty z załącznika II w odniesieniu do środków zarządzania ryzykiem z artykułu 21. W rozporządzeniu wykonawczym nie ma wyłączenia specyficznego dla badań. Specyfika sektorowa pojawia się jedynie w progach zgłaszania incydentów poprzez krajową praktykę nadzorczą.
Brak ogólnego rozszerzenia na uczelnie w §28 BSIG
Niemcy nie dokonały w NIS2UmsuCG ogólnego rozszerzenia NIS 2 na uczelnie. Hochschulen i uczelniane ośrodki badawcze pozostają zatem poza zakresem NIS 2 na szczeblu federalnym, choć inne ustawy federalne lub krajów związkowych (na przykład ustawy o bezpieczeństwie IT poszczególnych Länder) mogą nadal mieć zastosowanie.
Uczelnie to też badania, więc muszą być w zakresie.
Domyślnie nie. Artykuł 6(41) wyłącza instytucje edukacyjne z definicji organizacji badawczej. Są w zakresie wyłącznie wtedy, gdy państwo członkowskie wyraźnie rozszerzyło na nie NIS 2 prawem krajowym (artykuł 2(5)(b)). W Niemczech tego rozszerzenia nie dokonano.
Tylko publicznie finansowane instytuty badawcze są w zakresie.
Błędny kierunek. Definicja patrzy na działalność i zamiar komercyjnego wykorzystania, a nie na źródło finansowania. Prywatna firma badawczo-kontraktowa może być w pełni w zakresie. Czysto publicznie finansowany podmiot badań podstawowych jest poza zakresem, ponieważ działalność jest niekomercyjna, a nie dlatego, że środki są publiczne.
Jesteśmy organizacją non-profit, więc NIS 2 nie ma zastosowania.
Forma prawna nie decyduje o zakresie. Gemeinnützige GmbH lub e.V. prowadzące badania stosowane na potrzeby komercyjnego wykorzystania może spełniać definicję. Testem jest działalność i próg wielkości, a nie status podatkowy.
W sprawdzeniach zastosowania, które przeprowadzamy, granicznym przypadkiem jest niemal zawsze ramię badawczo-kontraktowe uczelni lub publicznie finansowany instytut z silnym strumieniem transferu technologii. Właściwym pytaniem nie jest, czy podmiot prowadzi badania, lecz czy jego głównym celem są badania stosowane lub eksperymentalne prace rozwojowe ze ścieżką komercyjnego wykorzystania.
Jeśli odpowiedź brzmi tak i podmiot spełnia próg wielkości z artykułu 2(1), jest w NIS 2 jako podmiot ważny, niezależnie od tego, czy postrzega siebie jako część publicznego krajobrazu badawczego. Sprawdzenie zastosowania na platformie przeprowadza wprost przez artykuł 6(41) i artykuł 2(1), więc nie pozostawia się tego interpretacji.
- Directive (EU) 2022/2555 (NIS 2), Annex II point 7 (Research)
- Directive (EU) 2022/2555 (NIS 2), Article 6(41), definition of research organisation
- Directive (EU) 2022/2555 (NIS 2), Recital 36 and Article 2(5)(b), research organisations and optional extension to education institutions
- Directive (EU) 2022/2555 (NIS 2), Article 2(1), scope and size threshold via Recommendation 2003/361/EC
- BSIG (Gesetz zur Umsetzung der NIS-2-Richtlinie, NIS2UmsuCG), §28, sectoral scope including research organisations
- BSIG §65, penalty band for important entities (up to 7 million euro or 1.4 percent of global annual turnover)
- ENISA Technical Implementation Guidance for NIS 2 Article 21, v1.2 (August 2025)
Masz zająć się NIS2?
Prowadzimy Cię krok po kroku. Ty wypełniasz, my wyjaśniamy każdy punkt prostymi słowami, a na końcu podpisuje kierownictwo.
