Някъде сте прочели, че глобите по NIS2 могат да достигнат десет милиона евро или два процента от оборота, и се питате дали това може да се случи с вас. Кратките отговор: тези суми наистина фигурират в директивата, но са предназначени за съществени и важни субекти — организации, които сами попадат под NIS2, с задължение за управление на риска, задължение за регистрация и задължение за докладване на инциденти. Ако вашето предприятие не попада под тях, но доставяте на такава организация, тогава глоба не е рискът, който трябва да ви тревожи.
Рискът, който по-скоро ще получите, е по-практичен и идва по-бързо: купувач, който сам попада под задължението за управление на риска, трябва да оцени своите доставчици. Ако не можете да отговорите на въпросника или да докажете изпълнението на договорните изисквания, последствието обикновено не е глоба, а загуба на договор. Този процес часто отнема седмици, а не години.
За кого е предназначена глобата всъщност
Директивата насочва контрола на организациите, които сами са задължени: съществените и важните субекти от секторите в приложение I и II. За тях национално право — в Нидерландия Законът за киберсигурност — определя как органът по надзор действа, ако задължението за управление на риска или задължението за докладване не е изпълнено. Ако сте не сте сами задължени, но доставяте на такъв субект, то сте страна в този контролен процес. Вие усещате директивата, но чрез договорните изисквания на вашия купувач, а не чрез решение за глоба на ваше име. Ако се питате дали вашата организация сама попада под закона, това може да се установи с няколко въпроса чрез проверката, която очертава вашата ситуация в няколко стъпки.
Какви суми дефинира директивата
Директивата сама определя максимални суми за съществени и важни субекти, с по-висок праг за съществени субекти, отколкото за важни. Винаги е най-високото между фиксирана сума или процент от световния годишен оборот — следователно не е автоматично пълната сума при всяко нарушение. Как органът по надзор балансира в конкретен случай и каква сума всъщност се налага, не е определено в директивата и зависи от компетентния орган по надзор. Ние умишлено не се опитваме да предвидим това; какво точно казват директивата и национално право, можете да прочетете чрез официалния текст и публикациите на органа по надзор.
Защо договорът идва преди глобата
Процес на глоба обикновено начина едва след сигнали, разследване и възможност за поправка — всичко това отнема време. Отдел по доставки, който изпраща въпросник за сигурност, не чака това. Ако отговорът липсва или е непълен, поръчката често просто се предоставя на друг доставчик, или получавате период за поправка, който сами трябва да попълните. Това прави разговора с вашия купувач по-спешен за повечето МСП, отколкото вопросът дали някога ще бъде наложена глоба. Повече информация за това какво точно стои зад такъв въпросник можете да прочетете в преглеца на теми, които са подбрани за всяка ситуация.
Какво означава това, ако попадате в веригата
Ако сами не сте задължени, но сте доставчик на задължена организация, то вопросът не е дали грози глоба, а дали можете да докажете, че сте изпълнили поисканите мерки. Това се отнася до доказателства, отговорник за всяка мярка и отговор, който не трябва да измисляте всеки път отново. Всеки, който това веднъж е документирал, отговаря на следващия въпросник с много по-малко работа. Често задавани въпроси относно това какво точно можете да бъдете попитани и какво не, са събрани в страницата с често задавани въпроси.
Ако сами сте съществен или важен субект, то глобата е последният отстрашител, но задължението за управление на риска е самата работа: приемане на мерки, документиране и способност да покажете. Как е структуриран този процес и откъде идва информацията на този сайт, е обяснено в страницата, която обяснява как работи платформата.
Искате ли да знаете дали вашата организация сама попада под NIS2, или се потърсва само чрез купувач? Направете безплатната NIS2-проверка или първо спокойно прочетете познавателния материал — и двата варианта са достъпни без профил.