Je-li jednatel osobně odpovědný podle NIS2?
Směrnice NIS2 nereguluje pouze to, co musí organizace dělat z technického a organizačního hlediska, ale vztahuje se i na samotné vedení. Směrnice požaduje od vedení, aby schválilo opatření pro řízení rizik, dohlíželo na jejich provádění a absolvovalo školení v této oblasti. Jedná se o jinou roli než v případě IT oddělení nebo externího dodavatele, a tuto roli nelze delegovat.
Zda to vede k osobní odpovědnosti jednotlivého člena vedení, závisí na národním právním předpisu, který směrnici převádí, a na širším korporativním právu země, ve které je organizace usídlena. V Nizozemsku to probíhá prostřednictvím Zákona o kybernetické bezpečnosti a stávajících pravidel týkajících se odpovědnosti vedení za nesprávné řízení. Nejlepší je, abyste si o tom, co je v tom přesně stanoveno a co je stále ve vývoji, povídali s právníkem; tento článek popisuje hlavní linii, nikoli vaši individuální situaci.
Co směrnice požaduje od vedení
Povinnost péče vyplývající z NIS2 se skládá ze dvou vrstev, které se vzájemně doplňují. První vrstva je organizace: deset opatření, která tvoří kybernetické portfolio, od správy přístupu až po řešení incidentů. Druhá vrstva je vedení: musí tato opatření znát, schválit a sledovat. To neznamená, že vedení musí rozumět technyce do všech podrobností, ale musí vědět, jaká rizika organizace čelí, jaké volby v tom byly učiněny a zda se tyto volby dodržují. Kdo chce vědět přesně, která opatření se jedná, najde přehled v přehled všech témat NIS2.
Proč to nelze outsourcovat
Je zcela běžné, že organizace přenese provádění bezpečnostních opatření na IT dodavatele, poskytovatele spravovaných služeb nebo interního bezpečnostního pracovníka. To je povoleno, a pro mnoho malých a středních podniků je to také jedinou realistickou cestou. Směrnice však rozlišuje mezi prováděním a nošením odpovědnosti. Dodavatel může spravovat firewall, nastavit zásady hesel nebo spustit zálohu; vedení zůstává tím, kdo musí být schopen prokázat, že ví, co se děje, a že se pro to vědomě rozhodlo. Smlouva s dodavatelem upravuje provádění, nikoli vedoucí zapojení, které směrnice požaduje.
To se také týká tématu dodavatelského řetězce. Organizace, která sama podléhá NIS2, musí dohlížet na rizika, která dodavatelé přinášejí — proto malé a střední podniky dostávají bezpečnostní dotazníky od svých objednavatelů. Stejná logika platí směrem dovnitř: vedení dohlíží na to, co dělá vlastní organizace, i když je práce prováděna jinde.
Co v praxi znamená dohled
Dohled není otázkou jednorázového podpisu dokumentu. Směrnice mluví o schválení opatření a školení, což naznačuje, že jde o opakující se proces: pravidelně kontrolovat, zda opatření stále fungují, zda byla provedena a zda se něco nezměnilo, čímž by byla nutná úprava. Pro vedení bez technického vzdělání je nejpracovnější forma obvykle pevný přehled: která opatření existují, jaký je jejich stav, kdo je majitelem a jaký důkazní dokument k tomu patří. Bez takového rejstříku je těžké dohled prokázat, i kdyby se ve skutečnosti uskutečnil.
Co jsme si jisti a co jsme si jisti nejsme
Samotna směrnice popisuje roli vedení na evropské úrovni; jak se to přesně promítá do právní odpovědnosti, se liší podle jednotlivých zemí a národní právní předpisy nejsou všude konečné ve stejnou dobu. Dohledové orgány na toto vydávají vlastní výklad a ten se může měnit. Sledujeme to pro každou zemi a každý zdroj s uvedením data, kdy jsme publikaci zaznamenali; jak přesně funguje tvorba zdrojů, je vysvětleno na stránce o tom, jak sledujeme zdroje. Při posuzování osobní odpovědnosti konkrétního člena vedení v konkrétní organizaci zůstává právník nebo příslušný dohledový orgán tou správnou kontaktní osobou.
Co můžete zdokumentovat
I bez úplné právní jistoty ohledně osobní odpovědnosti existuje praktická práce, kterou je třeba provést: zdokumentovat, jaká opatření existují, kdo je spravuje a kdy se vedením naposledy zabývala. To je přesně to, na co je určen cyber-dossier — živý registr namísto jednorázové zprávy. Chcete-li nejdříve vědět, zda vaše organizace sama podléhá zorgplicht nebo je zasažena prostřednictvím dodavatelského řetězce, pak bezplatná NIS2-kontrola vám na to dá první orientaci v pár otázkách s vysvětlením proč.
Začněte tam, kde jste nyní: prohlédněte si bezplatnou NIS2-kontrolu nebo si projděte znalostní bázi, abyste viděli, která témata jsou pro vaši organizaci relevantní.