как узнавам дали моята фирма попада под NIS2

Сектор, размер и роля в веригата определят отговора заедно

Дали един бизнес попада под Директива NIS2, зависи от три неща заедно: секторът, в който оперира, размерът на организацията и ролята, която играе в веригата на други компании. Който работи в сектор от приложение I или II — помислете на енергетика, транспорт, цифрова инфраструктура, здравеопазване и редица други сектори — и надвишава установените прагове за размер, попада директно под директивата като съществен или важен субект. Преглед на тези сектори се намира на страницата за кои сектори попадат под директивата NIS2, а разликата между двете категории е обяснена на страницата за каква е разликата между критично важна и важна организация.

Бизнес, който сам не работи в посочен сектор или остава под прагове за размер, не е автоматично извън поле. Веднага щом доставя на организация, която сама попада под задължението, влиза в поле чрез веригата, тъй като тази задължена организация трябва да оцени своите доставчици. Това обяснява защо дори бизнесите, които на пръв поглед нямат никакво отношение към директивата, въпреки това получават списъци с въпроси за сигурност и договорни изисквания. Финансовите институции представляват отделно изключение: те попадат под друг европейски регламент, DORA, и не под NIS2 — това, което се прилага за този сектор, е показано на страницата за се прилага ли на моята банка или застрахователна компания DORA или NIS2.

Откъм какво се основава: сектор и определяния на веригата от директивата

Разпределението по сектори и критериите за размер произлизат от самата NIS2 директива, като задължението за управление на риска, произтичащо оттам, е разработено в член 21 и свързаното задължение за докладване в член 23; нидерландската имплементация преминава през Закона за кибербезопасност, и NCSC дава насоки как то задължение за управление на риска и задължението за докладване работят в практиката. Функционирането на веригата — че задължени организации трябва да оцепят своите доставчици — също произлиза от това определение за управление на риска.