Кратката отговор
Част от услугата за ИКТ е назована конкретно в списъка на сектори на NIS2 и поради това може да бъде сама по себе си критична организация или важна организация. Помислете на доставчици на управляван услуги и управляван услуги за сигурност, облачни доставчици и центрове за данни. Но повечето поставящи ИКТ услуги — локалният администратор на мрежата, страната, която поддържа сървъри от разстояние, доставчикът на приложение за бизнес — не попадат сами под списъка на сектори. Те често са засегнати, и то защото техният клиент е законно задължен: критична или важна организация трябва да оцени доколко безопасни са нейните доставчици, а поставящ ИКТ услуги със достъп до системи е очевидна страна за такава оценка.
Независимо дали сте сами задължени или сте засегнати чрез веригата на доставки, зависи от три неща един до друг: попада ли вашият тип услуга в списъка на сектори, достига ли вашата организация размера, който е свързан с това, и каква е вашата фактическа роля при клиентите, които сами са задължени. Тези три фактора определят отговора заедно и работят независимо един от друг — можете да достигнете размера без да седите в правилния сектор, или да седите точно в сектора без размера.
Какво казва списъка на сектори за услугата за ИКТ
Ръководство NIS2 прави разлика между сектори от висока критичност и други критични сектори. В рамките на цифровата инфраструктура и цифровата услуга се споменават конкретно доставчици на управляван услуги и доставчици на управляван услуги за сигурност, наред с услуги за облачни изчисления, центрове за данни и доставчици на онлайн пазари и търсачки. Който попада под един от тези термини, преминава през същия тест като всеки друг сектор: отговаря ли собствената услуга на описанието в ръководството и ако да, в коя категория.
Който доставя чисто софтуер, строи уебсайт или провежда случайни ИТ проекти без постоянно управление, обикновено попада извън това специфично описание — макар че точното разграничение остава нещо за собствената ситуация, не за общо правило. Ако се съмнявате какво описание е приложимо за вашата услуга, то в няколко въпроса дава първоначално указание с препратка към точното място в ръководството.
Размерът е толкова важен колкото секторът
Само един сектор не е достатъчно, за да бъдете критична или важна организация. NIS2 работи със критерии за размер, които се прилагат към стандартната категоризация на средни и големи предприятия: броят на служителите и оборотът или общата сума на баланса влизат в определянето на категорията. Еднолично предприятие, което предоставя управление на мрежата на няколко местни фирми, обикновено е в различна категория по размер от национален поставящ ИТ услуги със стотици служители, макар и двамата да предлагат по същество същата услуга.
Национални закони, които преобразуват ръководството — в Нидерландия Cybersecurity Act — разработват тези критерии по-нататък, а надзорният орган публикува практическо уточнение по отношение на тях. Ние проследяваме тези источники с датата, когато сме ги видели, така че можете да попитате кога едно указание е основано.
Дистанционно управление и достъп до системите на клиентите: позиция в веригата на доставки
При предоставянето на услуги в областта на ИКТ позицията в веригата на доставщиците често е решаващият фактор, независимо от сектор и размер. Отдалечено управление, достъп до мрежи на клиентите, управление на пароли или поддържане на приложение, което е критично за клиента — това са именно характеристиките, които клиентът взема предвид при оценяване на собствените си доставчици. Същественият или важният субект трябва да може да докаже, че рисковете в веригата на доставщиците са идентифицирани, и доставчик с достъп до системи стои високо на този списък, независимо дали самият доставчик фигурира в секторния списък.
Това обяснява защо много предоставящи услуги в областта на ИКТ получават въпросник за безопасност или договорно изискване, без да са сами задължени по закон. Това не е юридическо задължение, което почива пряко върху тях, а практическо изискване, което идва чрез клиента — и което определено може да засегне договора.
Поддоставчици: веригата не свършва при вас
Ако сами работите с поддоставчици — независим администратор на системи, страна, която предоставя хостинг, външни помощна служба — на практика прехвърляте този въпрос. Ако вашият клиент иска да знае как е организиран достъпът до системи, е вероятно да зададете същия въпрос на своите собствени поддоставчици. По този начин оценяването на веригата на доставщиците протича на няколко нива, дори ако никой в тази верига не попада под сам секторния списък.
Какво това означава за вашия досие
Независимо дали сте сами задължени, засегнати само чрез веригата на доставщиците, или никак, определя как ще изглеждат вашите подготовки: пълен досие за управление на рисковете, целенасочени отговори на въпросници на клиентите, или засега никакви действия. Преглед на десетте мерки, които управлението на рисковете очаква от вас, и как те се отнасят към това, което клиент пита в въпросник, ще намерите в обяснението по тема. За въпроса как secria.eu поддържа източниците и на какво се основава всяка насока, методологията е добра начална точка, а често задавани въпроси относно обхвата на закона се събират в преглед на въпроси и отговори.
Започнете с проверката NIS2, за да видите дали вашата услуга попада в секторния списък, какъв размер е релевантен и какво означава вашата позиция в веригата — безплатно и без профил.