Έχετε διαβάσει κάπου ότι τα πρόστιμα της Οδηγίας NIS2 μπορούν να φτάσουν τα δέκα εκατομμύρια ευρώ ή το δύο τοις εκατό του κύκλου εργασιών, και αναρωτιέστε εάν αυτό θα μπορούσε να σας συμβεί. Η σύντομη απάντηση: τα ποσά αυτά βρίσκονται πράγματι στην Οδηγία, αλλά προορίζονται για θεσμικές μονάδες κρίσιμης σημασίας και θεσμικές μονάδες σημαντικής σημασίας — οργανισμούς που ίδιοι δεν υπόκεινται στην Οδηγία NIS2, με υποχρέωση διαχείρισης κινδύνων, υποχρέωση εγγραφής και υποχρέωση ειδοποίησης περιστατικών. Εάν η επιχείρησή σας δεν υπάγεται εκεί αλλά προμηθεύει έναν τέτοιο οργανισμό, τότε το πρόστιμο δεν είναι ο κίνδυνος που πρέπει να σας ανησυχεί.
Ο κίνδυνος που είναι πιο πιθανό να σας αντιμετωπίσετε είναι πιο πρακτικός και έρχεται ταχύτερα: ένας αγοραστής που ίδιος υπόκειται στην υποχρέωση διαχείρισης κινδύνων πρέπει να αξιολογήσει τους προμηθευτές του. Εάν δεν μπορείτε να απαντήσετε στη λίστα ερωτήσεων ή να αποδείξετε τις δεσμευτικές απαιτήσεις, το αποτέλεσμα συνήθως δεν είναι πρόστιμο αλλά απώλεια συμβάσεως. Αυτή η διαδικασία συχνά διαρκεί εβδομάδες, όχι χρόνια.
Για όσους το πρόστιμο είναι πραγματικά προορισμένο
Η Οδηγία κατευθύνει την επιβολή της νομοθεσίας στους οργανισμούς που ίδιοι υπόκεινται σε υποχρεώσεις: τις θεσμικές μονάδες κρίσιμης σημασίας και σημαντικής σημασίας από τους τομείς του παραρτήματος I και II. Για αυτούς, ο εθνικός νόμος — στην Ολλανδία ο Cybersecurity Act (Νόμος περί Κυβερνοασφάλειας) — καθορίζει τον τρόπο με τον οποίο ο ρυθμιστικός φορέας ενεργεί εάν δεν τηρείται η υποχρέωση διαχείρισης κινδύνων ή η υποχρέωση ειδοποίησης. Εάν δεν υπόκεισθε ίδιοι σε υποχρεώσεις αλλά προμηθεύετε μια τέτοια μονάδα, τότε δεν είστε μέρος αυτής της διαδικασίας επιβολής. Αισθάνεστε την Οδηγία, αλλά μέσω των δεσμευτικών απαιτήσεων του αγοραστή σας, όχι μέσω μιας πράξης επιβολής προστίμου στο δικό σας όνομα. Εάν αμφιβάλλετε εάν ο οργανισμός σας ίδιος υπόκειται στον νόμο, αυτό μπορεί να διευκρινιστεί σε λίγα βήματα μέσω του ελέγχου που χαρτογραφεί την κατάστασή σας σε λίγα βήματα.
Ποια ποσά αναφέρει η Οδηγία
Η ίδια η Οδηγία αναφέρει μέγιστα ποσά για θεσμικές μονάδες κρίσιμης σημασίας και σημαντικής σημασίας, με υψηλότερο όριο για θεσμικές μονάδες κρίσιμης σημασίας από ό,τι για σημαντικής σημασίας. Πάντα πρόκειται για το υψηλότερο ποσό μεταξύ ενός σταθερού ποσού ή ενός ποσοστού του παγκόσμιου ετήσιου κύκλου εργασιών — άρα όχι αυτόματα το πλήρες ποσό σε κάθε παραβίαση. Ο τρόπος με τον οποίο ο ρυθμιστικός φορέας αξιολογεί μια συγκεκριμένη περίπτωση, και ποιο ποσό επιβάλλεται στην πράξη, δεν καθορίζεται στην Οδηγία και εξαρτάται από τον αρμόδιο ρυθμιστικό φορέα. Δεν κάνουμε σκόπιμα πρόβλεψη εδώ· ό,τι λέει ακριβώς η Οδηγία και ο εθνικός νόμος, μπορείτε να διαβάσετε μέσω του επίσημου κειμένου και των δημοσιεύσεων του ρυθμιστικού φορέα.
Γιατί το συμβόλαιο έρχεται πιο νωρίς από το πρόστιμο
Μια διαδικασία προστίμου συνήθως ξεκινά μόνο μετά από σήματα, έρευνα και ευκαιρία για διόρθωση — αυτό παίρνει χρόνο. Ένας τμήμα προμηθειών που στέλνει μια λίστα ερωτήσεων κυβερνοασφάλειας δεν περιμένει γι' αυτό. Εάν η απάντηση λείπει ή είναι ατελής, η παραγγελία συχνά απλώς δίνεται σε έναν άλλο προμηθευτή, ή λαμβάνετε ένα χρονοδιάγραμμα διόρθωσης που πρέπει να συμπληρώσετε ίδιοι. Αυτό καθιστά τη συζήτηση με τον αγοραστή σας πιο επείγουσα για τις περισσότερες μικρομεσαίες επιχειρήσεις από το ερώτημα εάν θα υπάρξει ποτέ πρόστιμο. Περισσότερα σχετικά με ό,τι ακριβώς κρύβεται πίσω από μια τέτοια λίστα ερωτήσεων, διαβάζετε στο την επισκόπηση των θεμάτων που έχουν επιλεγεί ανά κατάσταση.
Τι αυτό σημαίνει εάν είστε επηρεασμένοι από την αλυσίδα προμήθειας
Εάν δεν υπόκεισθε ίδιοι σε υποχρεώσεις αλλά είστε προμηθευτής ενός υπόχρεου οργανισμού, τότε το ερώτημα δεν είναι εάν υπάρχει πρόστιμο, αλλά εάν μπορείτε να αποδείξετε ότι έχετε τα απαιτούμενα μέτρα σε τάξη. Αυτό αφορά αποδεικτικά έγγραφα, έναν υπεύθυνο ανά μέτρο και μια απάντηση που δεν χρειάζεται να εφεύρετε κάθε φορά από την αρχή. Όποιος το έχει καθιερώσει μία φορά, απαντά στην επόμενη λίστα ερωτήσεων με πολύ λιγότερη δουλειά. Συχνές ερωτήσεις σχετικά με ό,τι επιτρέπεται να σας ζητηθεί και τι όχι, συγκεντρώνονται στο τη σελίδα με τις συχνές ερωτήσεις.
Εάν είστε ίδιοι κρίσιμης σημασίας ή σημαντικής σημασίας, τότε το πρόστιμο λειτουργεί ως έσχατη απειλή, αλλά η ίδια η υποχρέωση διαχείρισης κινδύνων είναι το πραγματικό έργο: λήψη μέτρων, τεκμηρίωση και δυνατότητα επίδειξης. Ο τρόπος με τον οποίο είναι δομημένη αυτή η διαδικασία και από πού προέρχονται οι πληροφορίες σε αυτόν τον ιστότοπο, εξηγείται στο τη σελίδα που εξηγεί πώς λειτουργεί η πλατφόρμα.
Θέλετε να μάθετε εάν ο οργανισμός σας ίδιος υπόκειται στην Οδηγία NIS2, ή εάν επηρεάζεστε μόνο μέσω ενός αγοραστή; Κάντε τον δωρεάν έλεγχο NIS2, ή διαβάστε πρώτα ήσυχα τη γνωσιακή βάση — και τα δύο είναι προσβάσιμα χωρίς λογαριασμό.