Η σύντομη απάντηση
Ένα μέρος της υπηρεσίας ICT αναφέρεται με όνομα στο κατάλογο τομέων του NIS2 και μπορεί ως εκ τούτου να είναι από μόνο του ουσιώδες ή σημαντικό. Σκεφτείτε τους παρόχους διαχειριζόμενων υπηρεσιών και διαχειριζόμενων υπηρεσιών ασφάλειας, τους παρόχους cloud και τα κέντρα δεδομένων. Αλλά οι περισσότεροι παροχοι υπηρεσιών ICT — ο τοπικός διαχειριστής δικτύου, το μέρος που συντηρεί τους διακομιστές εξ αποστάσεως, ο προμηθευτής μιας εφαρμογής επιχειρήσεων — δεν υπάγονται από μόνοι τους στο κατάλογο τομέων. Συχνά πληροφορούνται όμως, γιατί ο πελάτης τους είναι νόμιμα υποχρεωμένος: μια ουσιώδης ή σημαντική οντότητα πρέπει δηλαδή να αξιολογήσει πόσο ασφαλείς είναι οι προμηθευτές της, και ένας παροχος υπηρεσιών ICT με πρόσβαση σε συστήματα είναι για την αξιολόγηση αυτή ένα προφανές μέρος.
Το αν είστε νόμιμα υποχρεωμένος ή πληροφορούνται μέσω της αλυσίδας εφοδιασμού εξαρτάται λοιπόν από τρία πράγματα δίπλα-δίπλα: είναι ο τύπος υπηρεσίας σας στο κατάλογο τομέων, φτάνει η οργάνωση σας το μέγεθος που αντιστοιχεί σε αυτό, και ποιος είναι ο πραγματικός σας ρόλος στους πελάτες που είναι ήδη νόμιμα υποχρεωμένοι. Αυτοί οι τρεις παράγοντες καθορίζουν μαζί την απάντηση, και λειτουργούν ανεξάρτητα ο ένας από τον άλλο — μπορείτε να φτάσετε το μέγεθος χωρίς να καθήστε στον σωστό τομέα, ή να καθήστε ακριβώς στο σωστό τομέα χωρίς το μέγεθος.
Τι λέει ο κατάλογος τομέων για την υπηρεσία ICT
Η Οδηγία NIS2 διακρίνει τομείς υψηλής κρισιμότητας και άλλους κρίσιμους τομείς. Στην ψηφιακή υποδομή και την ψηφιακή υπηρεσία διακίνησης, μεταξύ άλλων, αναφέρονται ρητώς οι παροχοι διαχειριζόμενων υπηρεσιών (managed service providers) και οι παροχοι διαχειριζόμενων υπηρεσιών ασφάλειας (managed security service providers), δίπλα-δίπλα με τις υπηρεσίες υπολογιστικού νέφους, τα κέντρα δεδομένων και τους παρόχους ηλεκτρονικών αγορών και μηχανών αναζήτησης. Όποιος υπάγεται σε μία από αυτές τις περιγραφές, υποβάλλεται στην ίδια δοκιμή με κάθε άλλο τομέα: ταιριάζει η δική του υπηρεσία στην περιγραφή της οδηγίας, και αν ναι, σε ποια κατηγορία.
Όποιος παρέχει καθαρά λογισμικό, κατασκευάζει ιστοσελίδα ή διεξάγει περιστασιακά έργα IT χωρίς συνεχή διαχείριση, συνήθως εξαιρείται από αυτήν την συγκεκριμένη περιγραφή — αν και η ακριβής οριοθέτηση παραμένει κάτι για την δική σας κατάσταση, όχι για έναν γενικό κανόνα. Αν έχετε αμφιβολίες για το ποια περιγραφή ισχύει για τη δική σας υπηρεσία διακίνησης, τότε αυτό είναι ένα από τα σημεία όπου σε λίγες ερωτήσεις μια πρώτη ένδειξη βοηθάει, με αναφορά στο ακριβές σημείο εντοπισμού της οδηγίας.
Το μέγεθος ζυγίζει ακριβώς τόσο πολύ όσο ο τομέας
Ένας τομέας μόνο δεν αρκεί για να είναι κάποιος ουσιώδης ή σημαντικός. Το NIS2 λειτουργεί με κριτήρια μεγέθους που συνδέονται με την τυπική ταξινόμηση μεσαίων και μεγάλων επιχειρήσεων: ο αριθμός των υπαλλήλων και ο κύκλος εργασιών ή το σύνολο του ισολογισμού συμπαίζουν στον καθορισμό της κατηγορίας. Μια δραστηριότητα ενός ανθρώπου που προσφέρει διαχείριση δικτύου σε μια χούφτα τοπικών επιχειρήσεων συνήθως κάθεται σε μια διαφορετική κατηγορία όσον αφορά το μέγεθος από έναν εθνικό παροχο υπηρεσιών IT με εκατοντάδες υπαλλήλους, ακόμη και αν και οι δύο προσφέρουν ουσιαστικά την ίδια υπηρεσία.
Οι εθνικοί νόμοι που μεταφέρουν την οδηγία — στις Κάτω Χώρες το νόμο περί κυβερνοασφάλειας — περαιτέρω ανάλυση αυτών των κριτηρίων, και η αρχή εποπτείας δημοσιεύει πρακτικές οδηγίες γι' αυτά. Ενημερώνουμε αυτές τις πηγές με την ημερομηνία που τις δούμε, έτσι ώστε να μπορείτε να ρωτήσετε πότε ένδειξη βασίζεται.
Διαχείριση εξ αποστάσεως και πρόσβαση σε συστήματα πελατών: η θέση στην αλυσίδα εφοδιασμού
Ακριβώς στις υπηρεσίες τεχνολογίας πληροφοριών και επικοινωνιών, η θέση στην αλυσίδα εφοδιασμού είναι συχνά το κρίσιμο σημείο, ανεξάρτητα από τον κλάδο και το μέγεθος. Η διαχείριση από απόσταση, η πρόσβαση σε δίκτυα πελατών, η διαχείριση κωδικών ή η συντήρηση μιας εφαρμογής που είναι κρίσιμη για τον πελάτη — αυτά είναι ακριβώς τα χαρακτηριστικά που λαμβάνει υπόψη ένας πελάτης κατά την αξιολόγηση των δικών του προμηθευτών. Πράγματι, μια ουσιώδης ή σημαντική οντότητα πρέπει να είναι σε θέση να αποδείξει ότι τα κίνδυνος στην αλυσίδα εφοδιασμού είναι τεκμηριωμένα, και ένας προμηθευτής με πρόσβαση σε συστήματα βρίσκεται υψηλά σε αυτή τη λίστα, ανεξάρτητα από το αν αυτός ο προμηθευτής εμφανίζεται στη λίστα κλάδων.
Αυτό εξηγεί γιατί πολλοί πάροχοι υπηρεσιών τεχνολογίας πληροφοριών και επικοινωνιών, χωρίς να υπόκεινται στη νομική υποχρέωση, λαμβάνουν ωστόσο ένα ερωτηματολόγιο ασφάλειας ή ένα συμβατικό απαίτημα. Δεν είναι νομική υποχρέωση που ισχύει άμεσα για αυτούς, αλλά μάλλον ένας πρακτικός όρος που προέρχεται από τον πελάτη — και που μπορεί σίγουρα να επηρεάσει τη σύμβαση.
Υπεργολάβοι: η αλυσίδα δεν σταματά σε εσάς
Αν σας εργάζεστε και σεις με υπεργολάβους — έναν ανεξάρτητο διαχειριστή συστημάτων, έναν πάροχο φιλοξενίας, μια εξωτερική ομάδα υποστήριξης — στην πράξη μεταφέρετε αυτή την ερώτηση. Εάν ο πελάτης σας θέλει να γνωρίζει πώς ρυθμίζεται η πρόσβαση στα συστήματα, είναι πιθανό ότι θέσετε την ίδια ερώτηση στους δικούς σας υπεργολάβους. Έτσι η αξιολόγηση της αλυσίδας εφοδιασμού διαπερνά πολλαπλές συνδέσμους, ακόμη και αν κανείς σε αυτή την αλυσίδα δεν υπάγεται στη λίστα κλάδων.
Τι σημαίνει αυτό για το δοσιμέτριό σας
Το αν υπόκεισθε στη νομική υποχρέωση, επηρεάζεστε μόνο μέσω της αλυσίδας εφοδιασμού, ή καμία από τις δύο, καθορίζει τον τρόπο προετοιμασίας σας: ένα πλήρες δοσιμέτριο διαχείρισης κινδύνου, στοχευμένες απαντήσεις σε ερωτηματολόγια από πελάτες, ή προς το παρόν καμία ενέργεια. Ένα επισκόπημα των δέκα μέτρων που η υποχρέωση διαχείρισης κινδύνου αναμένει από εσάς, και πώς σχετίζονται με αυτά που ρωτά ένας πελάτης σε ένα ερωτηματολόγιο, θα βρείτε στο την εξήγηση ανά θέμα. Για το ερώτημα πώς η secria.eu παρακολουθεί τις πηγές και πού βασίζεται μια ένδειξη, η μεθοδολογία είναι ένα καλό σημείο εκκίνησης, και συχνές ερωτήσεις σχετικά με το πεδίο εφαρμογής του νόμου συγκεντρώνονται στο το επισκόπημα με ερωτήσεις και απαντήσεις.
Ξεκινήστε με τον έλεγχο NIS2 για να δείτε εάν η υπηρεσία σας υπάγεται στη λίστα κλάδων, ποιο μέγεθος έχει σημασία και τι σημαίνει για εσάς η θέση σας στην αλυσίδα εφοδιασμού — δωρεάν και χωρίς λογαριασμό.