кои сектори попадат под директивата NIS2

Единадесет сектора с висок риск, седем от тях

NIS2 работи със списък на сектори, разделени в две приложения. Приложение I посочва секторите с най-висок риск: енергетика, транспорт, банкови услуги, питейна вода, отпадни води, цифрова инфраструктура, държавна администрация, здравеопазване, космическа дейност и още някои други. Организациите в тези сектори могат, в зависимост от техния размер, да бъдат определени като съществени субекти. Приложение II посочва сектори, които се считат за важни: услуги в областта на пощите и куриерските служби, управление на отпадъци, химическа промишленост, хранителна промишленост, производство на определени стоки, доставчици на цифрови услуги и изследвания. И двете приложения се отразяват в Закона за кибербезопасност, българския преводът на директивата.

Сектор не е единственият критерий. В тези сектори също броят на служителите и годишният оборот играят роля при определяне дали организацията се счита за съществена, за важна или не попада под регулирането. Освен това има група, която не фигурира в приложенията, но все пак е засегната от последствиците: доставчици на съществени или важни субекти, които получават анкети за безопасност и договорни изисквания чрез задължението по старание на своя клиент, без да бъдат сами обвързани от регулирането. Тези, които искат да знаят какво точно се променя чрез националния закон намират там превода на тези приложения в българския текст. Финансовите институции представляват изключение: те попадат под различна европейска наредба и не под NIS2.

На какво се основава това: приложенията на директивата

Класификацията на сектори произтича от приложенията на Директива (EU) 2022/2555, които определят обхвата на задължението по старание и задължението за докладване — десетте мерки от член 21, параграф 2 се прилагат за тези, които попадат в обхвата. Законът за кибербезопасност приема тази класификация за българската ситуация, като NCSC е източникът на информация относно практическите аспекти на задължението по старане и задължението за докладване. Тези, които след този списък на сектори искат да разберат дали техният собствен организация попада под регулирането, могат да го проверят чрез проверката дали компанията попада под NIS2, а тези, които се колебаят между двата статуса в приложенията, намират обяснението в разликата между съществен и важен субект.