πώς ξέρω αν η επιχείρησή μου υπάγεται στο NIS2

Ο τομέας, το μέγεθος και ο ρόλος στην αλυσίδα προσδιορίζουν μαζί την απάντηση

Το εάν μια εταιρεία υπόκειται στην Οδηγία NIS2 εξαρτάται από τρία πράγματα μαζί: τον τομέα στον οποίο δραστηριοποιείται, το μέγεθος του οργανισμού και τον ρόλο που διαδραματίζει στην αλυσίδα άλλων εταιρειών. Όποιος βρίσκεται σε έναν τομέα που περιλαμβάνεται στο Παράρτημα I ή II — σκεφτείτε ενέργεια, μεταφορές, ψηφιακές υποδομές, υγειονομική περίθαλψη και μια σειρά άλλων τομέων — και υπερβαίνει τα καθορισμένα όρια μεγέθους, υπόκειται ο ίδιος στην Οδηγία, ως θεμελιώδης οντότητα ή ως σημαντική οντότητα. Μια ανασκόπηση αυτών των τομέων βρίσκεται στη σελίδα σχετικά με ποιοι τομείς υπάγονται στην Οδηγία NIS2, και η διάκριση μεταξύ των δύο κατηγοριών εξηγείται στη σελίδα σχετικά με ποια είναι η διαφορά μεταξύ μιας ουσιώδους και μιας σημαντικής οντότητας.

Μια εταιρεία που δεν δραστηριοποιείται σε κάποιο από τα αναφερόμενα πεδία ή παραμένει κάτω από τα όρια μεγέθους δεν είναι αναγκαστικά εκτός του πεδίου εφαρμογής. Μόλις παρέχει υπηρεσίες σε έναν οργανισμό που υπόκειται σε υποχρέωση, έρχεται στο εστιάζον μέσω της αλυσίδας εφοδιασμού, διότι ο υπό την υποχρέωση οργανισμός πρέπει να αξιολογήσει τους προμηθευτές του. Αυτό εξηγεί γιατί ακόμη και εταιρείες που, με πρώτη ματιά, δεν έχουν καμία σχέση με την Οδηγία, λαμβάνουν ωστόσο ερωτηματολόγια ασφάλειας και συμβατικές απαιτήσεις. Τα χρηματοπιστωτικά ιδρύματα αποτελούν εξαίρεση αυτού: υπόκεινται σε άλλη ευρωπαϊκή κανονιστική πράξη, τον Κανονισμό DORA, και όχι στην NIS2 — τα ισχύοντα για αυτό τον τομέα αναφέρονται στη σελίδα σχετικά με ισχύει η DORA ή το NIS2 για την τράπεζά μου ή τον ασφαλιστή μου.

Βάση αυτού: διατάξεις τομέα και αλυσίδας εφοδιασμού της Οδηγίας

Η ταξινόμηση σε τομείς και τα κριτήρια μεγέθους προέρχονται από την ίδια την Οδηγία NIS2, με την υποχρέωση διαχείρισης κινδύνου που προκύπτει από αυτήν να εξειδικεύεται στο άρθρο 21 και η σχετική υποχρέωση αναφοράς στο άρθρο 23· η ολλανδική transposition προχωρά μέσω του Cybersecurity Act, και το NCSC παρέχει καθοδήγηση σχετικά με τον τρόπο λειτουργίας της υποχρέωσης διαχείρισης κινδύνου και της υποχρέωσης αναφοράς στην πράξη. Ο μηχανισμός της αλυσίδας εφοδιασμού — κατά το οποίο οι οργανισμοί υπό την υποχρέωση πρέπει να αξιολογούν τους προμηθευτές τους — προκύπτει επίσης από την εν λόγω διάταξη περί υποχρέωσης διαχείρισης κινδύνου.