Spadá moje podnikání pod NIS2?
Určují to dvě věci: váš sektor a vaše velikost. Existuje ale třetí skupina, která na ni nedopadá, přesto však podléhá těmto požadavkům.
Sektor a velikost, v tomto pořadí
NIS2 je směrnice Evropské unie o bezpečnosti sítě a informačních systémů. Určuje osmnáct sektorů rozděleným do dvou příloh. Příloha I zahrnuje sektory s vysokou kritičností: energetika, doprava, zdravotnictví, pitná voda, digitální infrastruktura, veřejná správa. Příloha II zahrnuje ostatní kritické sektory, jako jsou pošta, odpadové hospodářství, chemie, potravinářství, průmysl a poskytovatelé digitálních služeb.
Pokud váš sektor v seznamu není, směrnice se na vás nevztahuje. Pokud se tam nachází, počítá se vaše velikost. Od přibližně padesáti zaměstnanců nebo deseti milionů eur obratu patříte do střední kategorie a platí pro vás povinnosti. Pokud máte více než dvěstěpadesát zaměstnanců nebo padesát milionů eur obratu a nachází se vaš sektor v příloze I, jste subjektem kritické importance a podléháte předchozímu dohledu. Zbytek patří do kategorie důležitých subjektů: stejné povinnosti v oblasti bezpečnosti, ale dohled pouze v případě potřeby.
Třetí skupina, která je největší
Valná část organizací, které se s tím setkávají, sama pod směrnici nedopadá. Dodávají totiž těm, na které se vztahuje. Směrnice zavazuje subjekty, na které se vztahuje, aby posuzovaly bezpečnost svých dodavatelů, a to prostřednictvím dotazníků a smluvních požadavků.
Pro vás to znamená žádnou povinnost registrace, žádnou povinnost hlášení a žádné pokuty. Znamená to však zákazníka, který od vás chce odpovědi, a který si vezme smlouvu někam jinam, pokud je nemůžete poskytnout. V praxi to zasahuje více podniků a rychleji než samotný právní předpis.
Výjimky, které nesmíte přehlédnout
I pod hranicí můžete být povinen. Pokud jste jediným poskytovatelem služby v členském státě, nebo by výpadek vaší služby měl velké společenské důsledky, váš dohledový orgán vás může určit. Poskytovatelé veřejných elektronických komunikačních služeb a poskytovatelé služeb vytvářející důvěru podléhají bez ohledu na svou velikost.
Opačně to platí také. Banky a finanční trhy v praxi podléhají DORA, nařízení o odolnosti digitálních prvků pro finanční sektor. To se uplatní jako zvláštní předpis. Pokud se v tom poznáváte, nechte se o tom poradit.
Často kladené otázky
Dostanu zprávu, když na mě bude směrnice vztahovat?
Ne, a to je léčka. Nepřijde vám dopis. Musíte to zjistit sami a zaregistrovat se sami u dohledového orgánu.
Co když si to špatně vyložím?
Nesprávné domnívání, že se na vás nevztahuje, je nejdražší scénář: pokuty dosahují až deseti milionů eur nebo dvou procent celosvětového obratu, a vedení nese osobní odpovědnost. Pokud si nejste jisti, vyjděte z předpokladu, že ano, a nechte si to ověřit.
Platí to také pro mou zahraniční pobočku?
Směrnice se vztahuje na celou EU, ale povinnosti vznikají prostřednictvím národního práva jednotlivých zemí, a ty nejsou všude stejně pokročilé. Registrujete se v zemi, kde máte sídlo; máte-li více poboček, může to být na více místech.
Jedná se o vysvětlení, nikoli o radu ohledně vaší konkrétní situace. secria.eu vaši organizaci neposuzuje a neposkytuje ujištění.