Registrace u dohledu: jak to funguje?
Organizace, které podle směrnice NIS2 spadají pod podstatné nebo důležité subjekty, se musí zaregistrovat u národního orgánu dohledu. K tomu dochází prostřednictvím portálu, který orgán dohledu za tímto účelem zřídí, s údaji o vaší organizaci, vašich kontaktních osobách a službách, které poskytujete. Nedostanete dopis, který by vás na to upozornil: povinnost registrace leží na samotné organizaci, nikoli na orgánu dohledu, aby vás vyhledal.
Toto překvapuje mnoho vedení. U jiných povinností — například u licencí nebo ročních hlášení — často dostanete signál od samotného úřadu. U povinnosti registrace podle zákona o kybernetické bezpečnosti to funguje opačně: orgán dohledu zpočátku neví, které organizace zákonem podléhají, a proto se spoléhá na vaše vlastní posouzení a jednání.
Jaké údaje se požadují
Registrace obvykle vyžaduje identifikační údaje o organizaci, jako je název, číslo v živnostenském rejstříku a adresa, doplněné o sektor a činnost, v níž pod zákon spadáte. Kromě toho se požaduje jeden nebo více kontaktů, které může orgán dohledu dosáhnout, se jménem, telefonním číslem a e-mailovou adresou — často se jedná o jiné osoby než standardní podnikový kontakt, protože jde o dostupnost v případě incidentu. Také sítě a informační systémy nebo služby, které jsou relevantní pro kvalifikaci jako podstatné nebo důležité, a někdy také členské státy, v nichž služby poskytujete, jsou součástí obrazu, který si chce orgán dohledu vytvořit.
Přesná pole a členění formuláře se liší v jednotlivých zemích, protože každý členský stát transpozuje směrnici do vlastní národní legislativy a orgán dohledu si portál sám zřídí. Co se v České republice požaduje, nemusí se tedy přesně shodovat s tím, co orgán dohledu požaduje od dceřiné společnosti v jiné zemi.
Proč nepřichází dopis
Povinnost registrace je koncipována jako povinnost organizace, nikoli jako výzva od státu. Orgán dohledu nemá na začátku platnosti zákona úplný přehled o tom, kdo kde působí a na jakou hladinu spadá — tyto informace musí pocházet ze samotného sektoru. Je to podobné jako ingerence do živnostenského rejstříku nebo daňové přiznání: odpovědnost za včasné jednání leží na podnikateli, i když nikdo neposílá připomenutí.
Pro mnoho malých a středních podniků, které jsou zasaženy přes dodavatelský řetězec, to stejně neplatí: povinnost registrace mají pouze samotné podstatné a důležité subjekty. Podniky, které dostanou formulář pro bezpečnost pouze od svého odběratele, který sám zákonem podléhá, se samy u orgánu dohledu neregistrují. Zda vaše organizace patří do první nebo druhé skupiny, není vždy ihned jasné; v několika otázkách vidíte, kde vaše organizace stojí poskytuje první orientaci s vysvětlením pro každý výsledek.
Kdy se registrovat
Národní zákon určuje, v jaké lhůtě a od jakého okamžiku se musí organizace zaregistrovat poté, co se kvalifikuje jako podstatné nebo důležité. Tyto lhůty jsou uvedeny v národní transpozici směrnice a na webových stránkách samotného orgánu dohledu a mohou se měnit, jak se legislativa dále rozpracovává. Pro aktuální stav se obraťte na příslušný orgán dohledu nebo právníka, nikoli na obecný článek — změna na stránkách nebo oznámení orgánu dohledu je v tomto bodě směrodatné, nikoli datum, které je někde uloženo.
Co secria.eu při registraci dělá a nedělá
Platforma vám pomáhá připravit text a údaje, které potřebujete k vyplnění registračního formuláře: které kontaktní osoby musíte poskytnout, jaký popis sektoru a činnosti odpovídá tomu, jak vás kategorizuje dohledový orgán, a jaké zdůvodnění stojí za vaší kvalifikací. To, co rozhodně nedělá, je podání v novém jménu. Vy sami podáváte u portálu svého dohledového orgánu; secria.eu připravuje text, vy ho zadáváte. Jak přesně tato příprava probíhá a které zdroje se přitom používají, je vysvětleno na stránce o tom, jak jsou informace zpracovávány.
Pochybnosti o vaší vlastní situaci
Zda a kdy je registrace pro vaši organizaci relevantní, závisí na sektoru, ve kterém působíte, na velikosti vaší organizace a na národním zákoně, který se na vás vztahuje. To není otázka, kterou by mohl zodpovědět jeden obecný články pro vaši konkrétní situaci; k tomu je příslušný dohledový orgán nebo právník tím správným kontaktem. Často kladené praktické otázky týkající se registrace, povinnosti hlášení a role dodavatelů jsou shromážděny na stránce s často kladenými otázkami.
Chcete si nejdřív udělat přehled všech témat spojených se směrnicí NIS2 a zákonem o kybernetické bezpečnosti, od rozdělení sektorů po deset povinných opatření? Ty najdete, seřazené podle vaší situace, na přehledové stránce se všemi tématy. A pokud si ještě nejste jisti, zda je registrace pro vás relevantní, je bezplatná rychlá kontrola nejrychlejším prvním krokem, jak se v tom orientovat.