NISD2 · simonorzel26 · Jul 10, 2026 · Jul 10, 2026
diff --git a/app/[locale]/(info)/open-source/page.tsx b/app/[locale]/(info)/open-source/page.tsx
@@ -26,6 +26,12 @@ export async function generateMetadata({ params }: { params: Promise<{ locale: s
 }
 
 const repos = [
+  {
+    name: "open-isms",
+    href: "https://github.com/NISD2/open-isms",
+    titleKey: "platform.title",
+    descKey: "platform.description",
+  },
   {
     name: "nis2-gap-assessment-schema",
     href: "https://github.com/NISD2/nis2-gap-assessment-schema",

diff --git a/messages/info/cs.json b/messages/info/cs.json
@@ -342,9 +342,18 @@
         "heading": "Tři fáze oznamování",
         "description": "Článek 23(4) NIS 2, § 32 odstavec 1 BSIG.",
         "items": {
-          "s1": { "title": "Včasné varování do 24 hodin", "text": "První včasné varování pro BSI do 24 hodin od zjištění významného incidentu s uvedením, zda se předpokládá, že byl způsoben protiprávním nebo zlovolným jednáním, a zda by mohl mít přeshraniční dopad." },
-          "s2": { "title": "Oznámení do 72 hodin", "text": "Úplnější oznámení do 72 hodin, které doplňuje včasné varování o první posouzení incidentu, jeho závažnosti a dopadu, jakož i o indikátory kompromitace, jsou-li k dispozici." },
-          "s3": { "title": "Závěrečná zpráva po jednom měsíci", "text": "Závěrečná zpráva nejpozději jeden měsíc po oznámení: podrobný popis, druh hrozby nebo příčinu, přijatá nápravná opatření a případný přeshraniční dopad." }
+          "s1": {
+            "title": "Včasné varování do 24 hodin",
+            "text": "První včasné varování pro BSI do 24 hodin od zjištění významného incidentu s uvedením, zda se předpokládá, že byl způsoben protiprávním nebo zlovolným jednáním, a zda by mohl mít přeshraniční dopad."
+          },
+          "s2": {
+            "title": "Oznámení do 72 hodin",
+            "text": "Úplnější oznámení do 72 hodin, které doplňuje včasné varování o první posouzení incidentu, jeho závažnosti a dopadu, jakož i o indikátory kompromitace, jsou-li k dispozici."
+          },
+          "s3": {
+            "title": "Závěrečná zpráva po jednom měsíci",
+            "text": "Závěrečná zpráva nejpozději jeden měsíc po oznámení: podrobný popis, druh hrozby nebo příčinu, přijatá nápravná opatření a případný přeshraniční dopad."
+          }
         }
       },
       "significant": {
@@ -364,11 +373,26 @@
       },
       "faq": {
         "heading": "Časté dotazy",
-        "q1": { "q": "Kdy začíná běžet 24hodinová lhůta?", "a": "Jakmile se subjekt o významném incidentu dozví, nikoli kdy začal." },
-        "q2": { "q": "Existují pevné prahové hodnoty v eurech pro významný incident?", "a": "Pouze pro poskytovatele digitálních služeb uvedené v PN (EU) 2024/2690. Pro všechny ostatní subjekty platí kvalitativní kritéria podle článku 23(3) NIS 2." },
-        "q3": { "q": "Co když si nejsem jistý, zda je incident významný?", "a": "Doložte své posouzení a důvody. Odůvodněné rozhodnutí je to, co auditor očekává; absence jakéhokoli posouzení je tím skutečným pochybením." },
-        "q4": { "q": "Musím oznamovat i podle GDPR?", "a": "Jsou-li dotčeny osobní údaje, posuďte samostatně článek 33 GDPR. Má vlastní 72hodinovou lhůtu a jiného adresáta." },
-        "q5": { "q": "Co se děje po oznámení?", "a": "BSI si může vyžádat další informace a závěrečná zpráva následuje nejpozději jeden měsíc po oznámení." }
+        "q1": {
+          "q": "Kdy začíná běžet 24hodinová lhůta?",
+          "a": "Jakmile se subjekt o významném incidentu dozví, nikoli kdy začal."
+        },
+        "q2": {
+          "q": "Existují pevné prahové hodnoty v eurech pro významný incident?",
+          "a": "Pouze pro poskytovatele digitálních služeb uvedené v PN (EU) 2024/2690. Pro všechny ostatní subjekty platí kvalitativní kritéria podle článku 23(3) NIS 2."
+        },
+        "q3": {
+          "q": "Co když si nejsem jistý, zda je incident významný?",
+          "a": "Doložte své posouzení a důvody. Odůvodněné rozhodnutí je to, co auditor očekává; absence jakéhokoli posouzení je tím skutečným pochybením."
+        },
+        "q4": {
+          "q": "Musím oznamovat i podle GDPR?",
+          "a": "Jsou-li dotčeny osobní údaje, posuďte samostatně článek 33 GDPR. Má vlastní 72hodinovou lhůtu a jiného adresáta."
+        },
+        "q5": {
+          "q": "Co se děje po oznámení?",
+          "a": "BSI si může vyžádat další informace a závěrečná zpráva následuje nejpozději jeden měsíc po oznámení."
+        }
       },
       "ctaCard": {
         "heading": "Strukturujte svůj oznamovací proces dříve, než ho budete potřebovat",
@@ -6217,6 +6241,10 @@
       "contribute": {
         "heading": "Přispívání",
         "p1": "Pull requesty vítány: zejména opravy právních citací (s odkazem na primární zdroj), další jazykové překlady, sektorová rozšíření (KRITIS, energetika, zdravotnictví) a rozdíly ve vnitrostátní transpozici. U podstatných změn nejprve prosím otevřete issue."
+      },
+      "platform": {
+        "title": "Platforma nisd2.eu: portál, průvodce, kurzy",
+        "description": "Kompletní aplikace, která pohání tento web. Portál pro compliance, řízený průvodce podle NIS 2, školení pro vedení a veškerá data rámců v jedné kódové základně postavené na Next.js a Drizzle. Lze ji hostovat na vlastní infrastruktuře a je licencována pod AGPL-3.0."
       }
     },
     "status": {

diff --git a/messages/info/de.json b/messages/info/de.json
@@ -6244,6 +6244,10 @@
       "contribute": {
         "heading": "Mitwirken",
         "p1": "Pull Requests willkommen - besonders Korrekturen an Rechtsquellen (mit Primärquellen-Zitat), zusätzliche Sprachübersetzungen, sektorspezifische Erweiterungen (KRITIS, Energie, Gesundheitswesen) und nationale Umsetzungs-Deltas. Für größere Änderungen bitte zuerst ein Issue eröffnen."
+      },
+      "platform": {
+        "title": "Die nisd2.eu-Plattform: Portal, Pfad, Kurse",
+        "description": "Die vollständige Anwendung, die diese Seite betreibt. Das Compliance-Portal, der geführte NIS-2-Pfad, die Geschäftsführer-Schulung und alle Framework-Daten in einer Next.js- und Drizzle-Codebasis. Selbst hostbar und unter AGPL-3.0 lizenziert."
       }
     },
     "partners": {

diff --git a/messages/info/en.json b/messages/info/en.json
@@ -6251,6 +6251,10 @@
       "contribute": {
         "heading": "Contributing",
         "p1": "Pull requests welcome: particularly corrections to legal citations (with a primary-source reference), additional language translations, sector-specific extensions (KRITIS, energy, healthcare), and national transposition deltas. For substantial changes please open an issue first."
+      },
+      "platform": {
+        "title": "The nisd2.eu platform: portal, journey, courses",
+        "description": "The complete application that runs this site. The compliance portal, the guided NIS 2 journey, the management course and all framework data, in one Next.js and Drizzle codebase. Self-hostable and licensed under AGPL-3.0."
       }
     },
     "partners": {

diff --git a/messages/info/es.json b/messages/info/es.json
@@ -342,9 +342,18 @@
         "heading": "Las tres fases de notificación",
         "description": "Artículo 23(4) NIS 2, § 32 apartado 1 BSIG.",
         "items": {
-          "s1": { "title": "Alerta temprana en 24 horas", "text": "Una primera alerta temprana al BSI en las 24 horas siguientes al conocimiento del incidente significativo, indicando si se sospecha que está causado por actos ilícitos o malintencionados y si podría tener un impacto transfronterizo." },
-          "s2": { "title": "Notificación en 72 horas", "text": "Una notificación más completa en 72 horas, que complementa la alerta temprana con una primera evaluación del incidente, su gravedad e impacto, así como indicadores de compromiso cuando estén disponibles." },
-          "s3": { "title": "Informe final tras un mes", "text": "Un informe final a más tardar un mes después de la notificación: una descripción detallada, el tipo de amenaza o la causa, las medidas correctoras aplicadas y cualquier impacto transfronterizo." }
+          "s1": {
+            "title": "Alerta temprana en 24 horas",
+            "text": "Una primera alerta temprana al BSI en las 24 horas siguientes al conocimiento del incidente significativo, indicando si se sospecha que está causado por actos ilícitos o malintencionados y si podría tener un impacto transfronterizo."
+          },
+          "s2": {
+            "title": "Notificación en 72 horas",
+            "text": "Una notificación más completa en 72 horas, que complementa la alerta temprana con una primera evaluación del incidente, su gravedad e impacto, así como indicadores de compromiso cuando estén disponibles."
+          },
+          "s3": {
+            "title": "Informe final tras un mes",
+            "text": "Un informe final a más tardar un mes después de la notificación: una descripción detallada, el tipo de amenaza o la causa, las medidas correctoras aplicadas y cualquier impacto transfronterizo."
+          }
         }
       },
       "significant": {
@@ -364,11 +373,26 @@
       },
       "faq": {
         "heading": "Preguntas frecuentes",
-        "q1": { "q": "¿Cuándo empieza el plazo de 24 horas?", "a": "Cuando la entidad tiene conocimiento del incidente significativo, no cuando comenzó." },
-        "q2": { "q": "¿Existen umbrales fijos en euros para un incidente significativo?", "a": "Solo para los proveedores de servicios digitales designados en el RE (UE) 2024/2690. Para todas las demás entidades se aplican los criterios cualitativos del artículo 23(3) NIS 2." },
-        "q3": { "q": "¿Qué hago si no estoy seguro de si un incidente es significativo?", "a": "Documente su valoración y los motivos. La decisión motivada es lo que un auditor espera ver; la ausencia de toda valoración es el verdadero fallo." },
-        "q4": { "q": "¿Tengo que notificar también conforme al RGPD?", "a": "Si hay datos personales afectados, compruebe por separado el artículo 33 RGPD. Tiene su propio plazo de 72 horas y un destinatario diferente." },
-        "q5": { "q": "¿Qué ocurre tras la notificación?", "a": "El BSI puede solicitar más información, y el informe final sigue a más tardar un mes después de la notificación." }
+        "q1": {
+          "q": "¿Cuándo empieza el plazo de 24 horas?",
+          "a": "Cuando la entidad tiene conocimiento del incidente significativo, no cuando comenzó."
+        },
+        "q2": {
+          "q": "¿Existen umbrales fijos en euros para un incidente significativo?",
+          "a": "Solo para los proveedores de servicios digitales designados en el RE (UE) 2024/2690. Para todas las demás entidades se aplican los criterios cualitativos del artículo 23(3) NIS 2."
+        },
+        "q3": {
+          "q": "¿Qué hago si no estoy seguro de si un incidente es significativo?",
+          "a": "Documente su valoración y los motivos. La decisión motivada es lo que un auditor espera ver; la ausencia de toda valoración es el verdadero fallo."
+        },
+        "q4": {
+          "q": "¿Tengo que notificar también conforme al RGPD?",
+          "a": "Si hay datos personales afectados, compruebe por separado el artículo 33 RGPD. Tiene su propio plazo de 72 horas y un destinatario diferente."
+        },
+        "q5": {
+          "q": "¿Qué ocurre tras la notificación?",
+          "a": "El BSI puede solicitar más información, y el informe final sigue a más tardar un mes después de la notificación."
+        }
       },
       "ctaCard": {
         "heading": "Estructure su proceso de notificación antes de necesitarlo",
@@ -6217,6 +6241,10 @@
       "contribute": {
         "heading": "Contribuir",
         "p1": "Pull requests bienvenidas: en particular correcciones a las citas legales (con una referencia a la fuente primaria), traducciones a otros idiomas, extensiones sectoriales (KRITIS, energía, sanidad) y deltas de transposición nacional. Para cambios sustanciales, abra primero una issue."
+      },
+      "platform": {
+        "title": "La plataforma nisd2.eu: portal, ruta, cursos",
+        "description": "La aplicación completa que hace funcionar este sitio. El portal de cumplimiento, la ruta guiada de NIS 2, la formación para la dirección y todos los datos de los marcos, en una única base de código Next.js y Drizzle. Autoalojable y con licencia AGPL-3.0."
       }
     },
     "status": {

diff --git a/messages/info/fr.json b/messages/info/fr.json
@@ -342,9 +342,18 @@
         "heading": "Les trois étapes de notification",
         "description": "Article 23(4) NIS 2, § 32 alinéa 1 BSIG.",
         "items": {
-          "s1": { "title": "Alerte précoce sous 24 heures", "text": "Une première alerte précoce au BSI dans les 24 heures suivant la connaissance de l'incident significatif, indiquant s'il est soupçonné d'être causé par des actes illégaux ou malveillants et s'il pourrait avoir un impact transfrontalier." },
-          "s2": { "title": "Notification sous 72 heures", "text": "Une notification plus complète dans les 72 heures, complétant l'alerte précoce par une première évaluation de l'incident, de sa gravité et de son impact, ainsi que des indicateurs de compromission lorsqu'ils sont disponibles." },
-          "s3": { "title": "Rapport final après un mois", "text": "Un rapport final au plus tard un mois après la notification : une description détaillée, le type de menace ou la cause, les mesures correctives appliquées et tout impact transfrontalier." }
+          "s1": {
+            "title": "Alerte précoce sous 24 heures",
+            "text": "Une première alerte précoce au BSI dans les 24 heures suivant la connaissance de l'incident significatif, indiquant s'il est soupçonné d'être causé par des actes illégaux ou malveillants et s'il pourrait avoir un impact transfrontalier."
+          },
+          "s2": {
+            "title": "Notification sous 72 heures",
+            "text": "Une notification plus complète dans les 72 heures, complétant l'alerte précoce par une première évaluation de l'incident, de sa gravité et de son impact, ainsi que des indicateurs de compromission lorsqu'ils sont disponibles."
+          },
+          "s3": {
+            "title": "Rapport final après un mois",
+            "text": "Un rapport final au plus tard un mois après la notification : une description détaillée, le type de menace ou la cause, les mesures correctives appliquées et tout impact transfrontalier."
+          }
         }
       },
       "significant": {
@@ -364,11 +373,26 @@
       },
       "faq": {
         "heading": "Questions fréquentes",
-        "q1": { "q": "Quand commence le délai de 24 heures ?", "a": "Lorsque l'entité a connaissance de l'incident significatif, et non lorsqu'il a débuté." },
-        "q2": { "q": "Existe-t-il des seuils fixes en euros pour un incident significatif ?", "a": "Uniquement pour les fournisseurs de services numériques désignés par le RE (UE) 2024/2690. Pour toutes les autres entités, ce sont les critères qualitatifs de l'article 23(3) NIS 2 qui s'appliquent." },
-        "q3": { "q": "Que faire si je ne suis pas sûr qu'un incident soit significatif ?", "a": "Documentez votre appréciation et ses motifs. La décision motivée est ce qu'un auditeur s'attend à voir ; l'absence de toute appréciation est la véritable défaillance." },
-        "q4": { "q": "Dois-je aussi notifier au titre du RGPD ?", "a": "Si des données à caractère personnel sont concernées, vérifiez séparément l'article 33 RGPD. Il a son propre délai de 72 heures et un destinataire différent." },
-        "q5": { "q": "Que se passe-t-il après la notification ?", "a": "Le BSI peut demander des informations complémentaires, et le rapport final suit au plus tard un mois après la notification." }
+        "q1": {
+          "q": "Quand commence le délai de 24 heures ?",
+          "a": "Lorsque l'entité a connaissance de l'incident significatif, et non lorsqu'il a débuté."
+        },
+        "q2": {
+          "q": "Existe-t-il des seuils fixes en euros pour un incident significatif ?",
+          "a": "Uniquement pour les fournisseurs de services numériques désignés par le RE (UE) 2024/2690. Pour toutes les autres entités, ce sont les critères qualitatifs de l'article 23(3) NIS 2 qui s'appliquent."
+        },
+        "q3": {
+          "q": "Que faire si je ne suis pas sûr qu'un incident soit significatif ?",
+          "a": "Documentez votre appréciation et ses motifs. La décision motivée est ce qu'un auditeur s'attend à voir ; l'absence de toute appréciation est la véritable défaillance."
+        },
+        "q4": {
+          "q": "Dois-je aussi notifier au titre du RGPD ?",
+          "a": "Si des données à caractère personnel sont concernées, vérifiez séparément l'article 33 RGPD. Il a son propre délai de 72 heures et un destinataire différent."
+        },
+        "q5": {
+          "q": "Que se passe-t-il après la notification ?",
+          "a": "Le BSI peut demander des informations complémentaires, et le rapport final suit au plus tard un mois après la notification."
+        }
       },
       "ctaCard": {
         "heading": "Structurez votre processus de notification avant d'en avoir besoin",
@@ -6217,6 +6241,10 @@
       "contribute": {
         "heading": "Contribuer",
         "p1": "Les pull requests sont les bienvenues : en particulier les corrections de citations juridiques (avec une référence à une source primaire), des traductions supplémentaires, des extensions sectorielles (KRITIS, énergie, santé) et les écarts de transposition nationale. Pour les modifications importantes, veuillez d'abord ouvrir une issue."
+      },
+      "platform": {
+        "title": "La plateforme nisd2.eu : portail, parcours, cours",
+        "description": "L'application complète qui fait tourner ce site. Le portail de conformité, le parcours NIS 2 guidé, la formation destinée aux dirigeants et toutes les données des référentiels, réunis dans une seule base de code Next.js et Drizzle. Auto-hébergeable et sous licence AGPL-3.0."
       }
     },
     "status": {