Εμπίπτει το έργο μου στο NIS2;
Δύο πράγματα το καθορίζουν: ο τομέας σας και το μέγεθός σας. Αλλά υπάρχει μια τρίτη ομάδα που παραμένει έξω και λαμβάνει τις απαιτήσεις παρόλα αυτά.
Τομέας και μέγεθος, με αυτή τη σειρά
Το NIS2 είναι μια ευρωπαϊκή οδηγία για την ασφάλεια δικτύων και συστημάτων πληροφοριών. Ορίζει δεκαοχτώ τομείς, κατανεμημένους σε δύο παραρτήματα. Το Παράρτημα I είναι οι τομείς υψηλής κρισιμότητας: ενέργεια, μεταφορές, υγεία, πόσιμο νερό, ψηφιακή υποδομή, δημόσια διοίκηση. Το Παράρτημα II είναι οι λοιποί κρίσιμοι τομείς, όπως ταχυδρομείο, διαχείριση αποβλήτων, χημικά, τρόφιμα, βιομηχανία και ψηφιακοί παροχοί υπηρεσιών.
Εάν ο τομέας σας δεν περιλαμβάνεται, δεν εμπίπτετε σε αυτό. Εάν περιλαμβάνεται, τότε υπολογίζεται το μέγεθός σας. Από περίπου πενήντα υπαλλήλους ή δέκα εκατομμύρια ευρώ κύκλο εργασιών, είστε μεσαίου μεγέθους και ισχύουν οι υποχρεώσεις. Εάν είστε μεγαλύτεροι από διακόσιους πενήντα υπαλλήλους ή πενήντα εκατομμύρια κύκλο εργασιών και βρίσκεστε στο Παράρτημα I, είστε μια κρίσιμη οντότητα και υπόκειστε σε προκαταρκτική εποπτεία. Τα υπόλοιπα είναι σημαντική οντότητα: η ίδια υποχρέωση διαχείρισης κινδύνων, αλλά εποπτεία μόνο εάν υπάρχει λόγος.
Η τρίτη ομάδα, και αυτή είναι η μεγαλύτερη
Η συντριπτική πλειονότητα των οργανισμών που ασχολούνται με αυτό δεν εμπίπτουν σε αυτό. Προμηθεύουν κάποιον που εμπίπτει σε αυτό. Η οδηγία υποχρεώνει τους υπόχρεους οργανισμούς να αξιολογούν την ασφάλεια των προμηθευτών τους, και το κάνουν με ερωτηματολόγια και όρους συμβάσης.
Για εσάς, αυτό σημαίνει καμία υποχρέωση εγγραφής, καμία υποχρέωση αναφοράς και καμία πρόστιμο. Αλλά ένας πελάτης που θέλει απάντηση, και που θα συνάψει συμβάσεις αλλού εάν δεν μπορείτε να του δώσετε αυτό. Στην πράξη, αυτό προσπαθεί περισσότερες εταιρείες και πιο γρήγορα από τον ίδιο το νόμο.
Εξαιρέσεις που δεν πρέπει να χάσετε
Ακόμα και κάτω από το όριο, μπορεί να είστε υπόχρεοι. Εάν είστε ο μόνος προμηθευτής μιας υπηρεσίας σε ένα κράτος μέλος, ή εάν η διακοπή της υπηρεσίας σας θα είχε μεγάλες κοινωνικές συνέπειες, η αρχή εποπτείας σας θα μπορούσε να σας ορίσει παρ' όλα αυτά. Οι παροχοί δημόσιων ηλεκτρονικών επικοινωνιών και υπηρεσιών πιστοποίησης εμπίπτουν σε αυτό ανεξάρτητα από το μέγεθός τους.
Αντίθετα, ισχύει επίσης κάτι. Οι τράπεζες και οι χρηματοπιστωτικές αγορές εμπίπτουν στην πράξη στο DORA, τον κανονισμό ψηφιακής ανθεκτικότητας για τον χρηματοπιστωτικό τομέα. Αυτό ισχύει ως ειδική διάταξη. Εάν σας περιγράφει, λάβετε συμβουλές σχετικά με αυτό.
Συχνές ερωτήσεις
Θα λάβω ειδοποίηση αν εμπίπτω;
Όχι, και αυτή είναι η παγίδα. Δεν υπάρχει επιστολή. Πρέπει να το καθορίσετε μόνοι σας και να εγγραφείτε μόνοι σας στην αρχή εποπτείας.
Τι θα γίνει αν το υπολογίσω λάθος;
Το να σκέφτεστε ότι δεν εμπίπτετε σε αυτό είναι το πιο δαπανηρό σενάριο: τα πρόστιμα φτάνουν τα δέκα εκατομμύρια ευρώ ή δύο τοις εκατό του παγκόσμιου κύκλου εργασιών, και η διοίκηση είναι προσωπικά υπεύθυνη. Εάν δισταζετε, υποθέστε ότι ναι και ζητήστε να ελεγχθεί.
Ισχύει αυτό και για τις ξένες εγκαταστάσεις μου;
Η οδηγία ισχύει σε ολόκληρη την ΕΕ, αλλά οι υποχρεώσεις προκύπτουν από τον εθνικό νόμο κάθε χώρας, και αυτές δεν είναι παντού ίδιες. Εγγράφεστε στη χώρα όπου εδρεύετε· σε περίπτωση πολλαπλών εγκαταστάσεων, αυτό μπορεί να είναι σε πολλά σημεία.
Αυτό είναι εξήγηση, όχι συμβουλή σχετικά με τη δική σας κατάσταση. Το secria.eu δεν αξιολογεί τον οργανισμό σας και δεν παρέχει διασφάλιση.