co se stane, pokud nesplním povinnosti vyplývající z NIS2

Dohled, náprava a případně sankce

Pokud se organizace nedodrží povinnosti vyplývající z NIS2, v praxi následuje nejdříve dohled a možnost věci napravit, a teprve pak – pokud k tomu nedojde – sankce od orgánu dohledu. Zákon o kybernetické bezpečnosti, které je českou transpozicí NIS2, poskytuje orgánu dohledu nástroje na kontrolu, zda organizace splňuje povinnost péče a oznamovací povinnost. Který orgán dohledu to přesně je, se liší podle sektoru; to je rozpracováno na stránce o který dozorovací orgán kontroluje můj sektor v rámci NIS2, Při nedostatcích může orgán dohledu vydávat pokyny, zavádět závazné instrukce nebo v pozdější fázi přistoupit k vymáhání.

Co to konkrétně znamená, závisí na tom, co se pokazí: chybějící deset povinných opatření vyplývajících z povinnosti péče, oznámení, které přichází pozdě nebo vůbec, nebo řetězec dodavatelů, který nebyl posouzen. U oznamovací povinnosti platí, že existují specifické okolnosti, za nichž je třeba hlásit; to je rozpracováno na stránce o kdy musím hlásit kybernetický incident dozorovému orgánu. U povinnosti péče jde o řadu opatření, která musí být jako celek v pořádku, a ta jsou popsána na stránce o které deset opatření musím učinit podle NIS2. Existuje také samostatná otázka, zda mohou být členové vedení osobně odpovědni za porušení; ta je řešena zvlášť na stránce o odpovědnost vedení za porušení nis2.

Právní základ v směrnici a národním právu

Povinnosti, které podléhají dohledu, vycházejí z článku 21 směrnice NIS2, který stanoví povinnost péče s deseti opatřeními, a ze samostatné oznamovací povinnosti; Zákon o kybernetické bezpečnosti transponuje tyto povinnosti do českého práva a zároveň upravuje pravomoci orgánu dohledu. Přesné vymezení dohledu a sankcí vychází z tohoto národního zákona a z publikací samotných orgánů dohledu, včetně NÚKIB.