Někde jste se dočetl, že pokuty podle NIS2 mohou dosáhnout až deseti milionů euro nebo dvou procent obratu, a ptáte se, zda se to může týkat vás. Krátká odpověď: tyto částky jsou skutečně obsaženy ve směrnici, ale jsou určeny pro kritické subjekty a důležité subjekty — organizace, které samy spadají pod NIS2, s povinností péče, registrační povinností a povinností hlášení. Pokud váš podnik pod toto nespadá, ale dodáváte takové organizaci, pak pokuta není riziko, které by vás mělo budit v noci.
Riziko, které vás spíše postihne, je praktičtější a přichází rychleji: odběratel, který sám podléhá povinnosti péče, musí posoudit své dodavatele. Pokud nemůžete zodpovědět seznam otázek nebo prokázat plnění smluvních požadavků, obvyklým důsledkem není pokuta, ale ztráta smlouvy. Takový proces obvykle trvá týdny, ne roky.
Pro koho je pokuta skutečně určena
Směrnice zaměřuje vymáhání na organizace, které jsou samy závazné strany: na kritické subjekty a důležité subjekty ze sektorů uvedených v příloze I a II. Pro ně určuje národní zákon — v Nizozemsku zákon o kybernetické bezpečnosti — jak postupuje orgán dohledu v případě, že není splněna povinnost péče nebo povinnost hlášení. Nejste-li sami závaznou stranou, ale dodáváte takové subjektu, nejste stranou v tomto vymáhacím řízení. Směrnici sice vnímáte, ale prostřednictvím smluvních požadavků vašeho odběratele, nikoli prostřednictvím rozhodnutí o pokutě vydaného na vaše jméno. Pokud si nejste jistí, zda vaše organizace sami podléhá zákonu, lze to zjistit pomocí několika otázek prostřednictvím kontroly, která zmapuje vaši situaci v několika krocích.
Jaké částky jsou uvedeny ve směrnici
Samotná směrnice uvádí maximální částky pro kritické subjekty a důležité subjekty, přičemž strop je vyšší pro kritické subjekty než pro důležité. Vždy jde o nejvyšší částku z pevné částky nebo procenta z celosvětového ročního obratu — tedy ne automaticky o plnou částku za každé porušení. Jak orgán dohledu v konkrétním případě zvažuje a která částka se ve skutečnosti ukládá, není stanovenou směrnicí a je na příslušném orgánu dohledu. Záměrně nečiníme předpovědi; co přesně říká směrnice a národní zákon, si můžete přečíst v oficiálním textu a publikacích orgánu dohledu.
Proč smlouva přichází dříve než pokuta
Řízení o pokutě obvykle začíná až po signálech, vyšetřování a možnosti nápravy — to trvá čas. Nákupní oddělení, které pošle seznam otázek o bezpečnosti, na to nečeká. Pokud odpověď chybí nebo je neúplná, zakázka se často jednoduše přidělí jinému dodavateli, nebo dostanete lhůtu k nápravě, kterou musíte sami splnit. To činí jednání s vaším odběratelem pro většinu malých a středních podniků naléhavějším než otázka, zda vůbec někdy dojde na pokutu. Více o tom, co se opravdu skrývá za takovým seznamem otázek, se dozvíte v přehledu témat, která jsou vypracována pro každou situaci.
Co to znamená, pokud jste postiženi řetězcem
Nejste-li sami závaznou stranou, ale jste dodavatelem pověřené organizace, pak otázka není, zda hrozí pokuta, ale zda můžete prokázat, že máte vyžadovaná opatření v pořádku. Jde o doklady, vlastníka pro každé opatření a odpověď, kterou si nemusíte pokaždé vymýšlet znovu. Kdo to jednou zdokumentuje, odpovídá na další seznam otázek s mnohem menší námahou. Často kladené otázky o tom, co se vás může a nemůže požadovat, jsou shromážděny na stránce s často kladenými otázkami.
Jste-li sami kritickým subjektem nebo důležitým subjektem, pak se pokuta počítá jako poslední prostředek, ale samotná povinnost péče je skutečnou prací: přijímání opatření, jejich dokumentace a prokázání. Jak je tento proces strukturován a odkud jsou informace na tomto webu, je vysvětleno na stránce, která vysvětluje, jak platforma funguje.
Chcete vědět, zda vaše organizace sama spadá pod NIS2, nebo je postižena pouze prostřednictvím odběratele? Proveďte bezplatnou kontrolu NIS2, nebo si nejdříve v klidu prostudujte znalostní bázi — obojí je dostupné bez účtu.