може ли управлението да носи лично отговорност при нарушение на NIS2

Да, при съществени субекти ръководството може да бъде привлечено лично на отговорност

За съществени субекти член 21, параграф 2 на Директива (EU) 2022/2555 предвижда възможност ръководителите да бъдат лично отговорни за одобряването и надзора на киберсигурностните мерки на своята организация. Това не е маргинална разпоредба в директивата: ръководството трябва да познава рисковите мерки, да ги одобри и активно да осъществява надзор върху тях, не просто да подпише политически документ. Как точно това се прилага — кои ръководители, при какви условия и с какви последици — се определя в национално преобразуване, в Нидерландия чрез Закона за киберсигурност.

Това директно засяга въпроса какво се случва, ако организация не изпълни задълженията на Директива (EU) 2022/2555: освен мерки, които могат да се насочат към организацията като цяло, директивата с този разпоредбата се обръща специално към ръководителя като физическо лице. Това е промяна в сравнение с много други задължения в областта на съответствието, където юридическото лице обикновено е контактната точка, а ръководството остава в отдалечение. За да се направи тази отговорност конкретна, е полезно да се знае кои десет мерки трябва да бъдат предприети според Директива (EU) 2022/2555 — защото одобрението и надзорът предполагат, че ръководството знае за какво е дума, не само че нещо е одобрено.

На какво се основава това: член 21 и националния закон

Основата се намира в член 21, параграф 2 на Директива (EU) 2022/2555, която дава на държавите членки възможност да привлекат отговорни членове на ръководството на съществени и важни субекти за нарушения на задълженията за грижа. Точното определение — за кого се отнася, при какви обстоятелства и с какви последици — е в компетенцията на национално законодателя; в Нидерландия това е Законът за киберсигурност, а NCSC предоставя консултации за как задълженията за грижа и докладване се прилагат на практика. За точното формулиране на разпоредбата и статуса на нидерландското преобразуване официалният текст служи като основа.