Попада ли моята компания под NIS2?
Две неща го определят: вашият сектор и размерът ви. Но има и трета група, която пада извън обхвата и въпреки това получава изискванията.
Сектор и размер, в този ред
NIS2 е европейска директива за сигурността на мрежите и информационните системи. Тя определя осемнадесет сектора, разделени на два приложения. Приложение I включва секторите с висока критичност: енергетика, транспорт, здравеопазване, питейна вода, цифрова инфраструктура, публична администрация. Приложение II включва останалите критични сектори, като пощи, управление на отпадъци, химия, хранителни продукти, промишленост и цифрови услугодатели.
Ако вашият сектор не е включен, тогава не попадате под действието на директивата. Ако е включен, тогава броят на вашите служители има значение. От около петдесет служители или десет милиона евро приход сте средноголемо предприятие и отговаряте на задълженията. Ако имате повече от двеста петдесет служители или петдесет милиона приход и сте в приложение I, тогава сте съществена организация и подлежите на предварителен надзор. Останалите са важни организации: същото задължение за управление на риска, но надзорът се прилага само ако има основание за това.
Третата група, и тя е най-голямата
Преобладаващото мнозинство от организациите, които се сблъскват с това, не попадат под действието на директивата. Те доставят услуги на някой, който попада под действието. Директивата задължава организациите, подлежащи на действието, да оценят сигурността на своите доставчици, което правят чрез въпросници и договорни клаузи.
За вас това означава, че нямате задължение да се регистрирате, нямате задължение да докладвате инциденти и нямате опасност от глоба. Но имате клиент, който иска отговор, и той ще сключи договор с някой друг, ако не можете да го предоставите. На практика това засяга повече компании и по-бързо, отколкото самото законодателство.
Изключения, които не трябва да пропускате
Дори под прага можете да сте подложени на действието. Ако сте единственият доставчик на услуга в държава-членка, или ако прекратяването на вашата услуга би имало значителни социални последствия, вашият надзорен орган може да ви определи въпреки това. Доставчиците на публични електронни комуникационни услуги и доставчиците на услуги за доверие попадат под действието независимо от техния размер.
От друга страна, има едно нещо. Банките и финансовите пазари практически попадат под DORA, наредбата за цифрова устойчивост в финансовия сектор. Това служи като специално правило. Ако видите себе си в това описание, потърсете съвет по този въпрос.
Често задавани въпроси
Ще получа ли известие, ако попадам под действието?
Не, и това е клопката. Няма да получите писмо. Трябва да го определите сами и да се регистрирате при надзорния орган.
Какво ако грешно преценя?
Грешното убеждение, че не попадате под действието, е най-скъпият сценарий: наказанията достигат до десет милиона евро или два процента от световния приход, а ръководството е лично отговорно. Ако се колебаете, приемете, че попадате под действието, и го проверете.
Важи ли това и за моя филиал в чужбина?
Директивата важи за цялата ЕС, но задълженията възникват чрез националното законодателство на всяка държава, и те не са еднакво развити навсякъде. Регистрирате се в страната, където сте установени; при няколко филиала това може да е на няколко места.
Това е обяснение, а не съвет за вашата конкретна ситуация. secria.eu не оценява вашата организация и не предоставя гаранция.