Stručná odpověď
Část správy ICT služeb je výslovně uvedena v seznamu sektorů NIS2 a může být proto sama kritickou či důležitou entitou. Mysleme na poskytovatele spravovaných služeb a spravovaných služeb bezpečnosti, poskytovatele cloudových služeb a datových center. Ale většina poskytovatelů ICT služeb — místní správce sítě, společnost, která na dálku spravuje servery, dodavatel podnikové aplikace — sama pod seznam sektorů nespadá. Často jsou však zasaženi, a to proto, že jejich zákazník je k tomu právně povinen: kritická či důležitá entita totiž musí posoudit, jak bezpečné jsou její dodavatelské služby, a poskytovatel ICT služeb s přístupem k systémům je pro takové posouzení zřejmou stranou.
Ať už jste sami povinní subjekt, nebo jste zasaženi prostřednictvím dodavatelského řetězce, závisí na třech faktorech vedle sebe: spadá váš typ služby do seznamu sektorů, dosahuje vaše organizace počtu zaměstnanců a obratu, který s tím souvisí, a jakou máte skutečnou roli u zákazníků, kteří jsou sami povinní subjekty. Tyto tři faktory společně určují odpověď a působí nezávisle na sobě — můžete dosáhnout požadovaného počtu zaměstnanců a obratu bez toho, abyste seděli v správném sektoru, nebo přesně seďte v sektoru bez splnění velikostních kritérií.
Co seznam sektorů říká o správě ICT služeb
Směrnice NIS2 rozlišuje sektory vysoké kritičnosti a ostatní kritické sektory. V rámci digitální infrastruktury a digitálních služeb jsou uvedeni mimo jiné poskytovatelé spravovaných služeb (managed service providers) a poskytovatelé spravovaných služeb bezpečnosti (managed security service providers), společně s cloudovými výpočetními službami, datovými centry a poskytovateli internetových tržišť a vyhledávacích služeb. Kdo spadá pod některou z těchto kategorií, projde stejným testováním jako jakýkoliv jiný sektor: odpovídá vaše vlastní služba popisu v předpisu a pokud ano, do které kategorie.
Kdo čistě prodává software, buduje webové stránky nebo provádí příležitostné IT projekty bez trvalé správy, obvykle spadá mimo tuto specifickou kategorii — přestože přesné vymezení zůstává záležitostí konkrétní situace, ne obecného pravidla. Máte-li pochybnosti o tom, která kategorie se na vaši správu služeb vztahuje, je to jeden z bodů, kde pomocí několika otázek poskytuje první orientaci s odkazem na přesné místo v předpisu.
Velikost hraje stejně důležitou roli jako sektor
Samotný sektor nestačí k tomu, aby byla entita kritická či důležitá. NIS2 pracuje s kritérii velikosti, která se shodují se standardní klasifikací středních a velkých podniků: počet zaměstnanců a obrat nebo bilanční součet se podílejí na určení kategorie. Jednoosobní podnikatel nabízející správu sítě hrstce místních společností obvykle patří z hlediska velikosti do jiné kategorie než celostátní poskytovatel IT služeb se stovkami zaměstnanců, přestože oba v podstatě nabízejí stejnou službu.
Národní zákony, které předpis přehlašují — v Nizozemsku zákon Cyberbeveiligingswet — tato kritéria dále rozpracovávají a dohled vydává k nim praktické vysvětlení. Sledujeme tyto zdroje s datem, kdy jsme je viděli, abyste mohli ověřit, kdy je indikace založena.
Vzdálená správa a přístup k zákaznickým systémům: pozice v dodavatelském řetězci
Právě u poskytovatelů služeb ICT je pozice v dodavatelském řetězci často rozhodujícím faktorem, nezávisle na sektoru a velikosti. Správa na dálku, přístup k sítím zákazníků, správa hesel nebo údržba aplikace, která je pro zákazníka kritická — to jsou právě ty charakteristiky, které zvažuje zákazník při posuzování vlastních dodavatelů. Podstatná nebo důležitá entita musí totiž být schopna prokázat, že jsou viditelná rizika v dodavatelském řetězci, a dodavatel s přístupem k systémům se v takovém seznamu ocitá vysoko, bez ohledu na to, zda se daný dodavatel sám v sektorovém seznamu vyskytuje.
To vysvětluje, proč mnoho poskytovatelů služeb ICT bez toho, aby sami podléhali povinnostmi, obdrží dotazník bezpečnosti nebo smluvní požadavek. Nejde o právní povinnost, která na ně přímo doléhá, ale o praktický požadavek, který přichází prostřednictvím zákazníka — a který může skutečně ovlivnit smlouvu.
Subdodavatelé: řetězec nekončí u vás
Pokud sami pracujete s subdodavateli — freelancový správce systémů, subjekt zajišťující hosting, externí helpdesk — v praxi tuto otázku předáte dále. Pokud váš zákazník chce vědět, jak je zorganizován přístup k systémům, je velká pravděpodobnost, že si položíte tutéž otázku svým vlastním subdodavatelům. Posuzování dodavatelského řetězce se tak rozprostírá přes několik článků, i když nikdo v tomto řetězci sám nespadá pod sektorový seznam.
Co to znamená pro váš spis
Zda sami podléháte povinnosti, zda jste zasaženi pouze prostřednictvím řetězce, nebo v žádném případě, určuje, jak bude vaše příprava vypadat: kompletní spis s majetkovou péčí, cílené odpovědi na dotazníky od zákazníků, nebo prozatím žádné kroky. Přehled deseti opatření, která péči o majetek od vás očekávají, a jak se vztahují k tomu, co zákazník v dotazníku ptá, naleznete v vysvětlení daného tématu. Informace o tom, jak secria.eu udržuje zdroje a na čem je údaj založen, najdete na pracovním postupu a často kladené otázky o rozsahu zákona jsou shromážděny v přehledu otázek a odpovědí.
Začněte s ověřením NIS2, abyste viděli, zda vaše služba ICT spadá do sektorového seznamu, jaké je relevantní množství a co vaše pozice v řetězci znamená — zdarma a bez účtu.