ποια αρχή εποπτείας ελέγχει τον τομέα μου σύμφωνα με το NIS2

Εποπτεία κατά χώρα και κατά τομέα ρυθμισμένη

Ποιος εποπτικός φορέας ασκεί έλεγχο εξαρτάται από τη χώρα και τον τομέα στον οποίο δραστηριοποιείται ένας οργανισμός. Η NIS2 υποχρεώνει κάθε κράτος μέλος να ορίσει ο ίδιο μια ή περισσότερες αρμόδιες αρχές, και αυτή η επιλογή διαφέρει κατά χώρα. Στην Ολλανδία, αυτή η ορισμένη γίνεται μέσω του Cybersecurity Act, της εθνικής μεταφοράς της NIS2, και εκεί καθορίζεται ανά τομέα ποιος ασκεί εποπτεία — αυτό μπορεί να είναι ένας τομεακός εποπτικός φορέας ή μια αρχή που ορίστηκε ειδικά για αυτό το σκοπό. Για γενικές πληροφορίες σχετικά με την υποχρέωση φροντίδας και την υποχρέωση αναφοράς, το NCSC είναι ένας σταθερός χώρος αναφοράς, αλλά το NCSC δεν είναι αυτόματα ο εποπτικός φορέας για κάθε τομέα.

Για όσους δεν γνωρίζουν ακόμη αν αυτό το θέμα είναι καθόλου σχετικό, είναι χρήσιμο να εξετάσουν πρώτα πώς να προσδιοριστεί εάν μια επιχείρηση υπόκειται στη NIS2 — η ερώτηση "ποιος με ελέγχει" απαντάται στην πραγματικότητα μόνο μετά την ερώτηση "θα ελεγχθώ". Μόλις αυτό διευκρινιστεί, το επόμενο βήμα είναι συνήθως η επισκόπηση των δέκα μέτρων που προκύπτουν από την υποχρέωση φροντίδας, επειδή ο εποπτικός φορέας το ελέγχει στην πράξη. Αυτό το θέμα δεν λαμβάνει εδώ σκόπιμα οριστική ανάθεση ενός συγκεκριμένου εποπτικού φορέα ανά τομέα, επειδή αυτή η κατηγοριοποίηση έχει αναπτυχθεί διαφορετικά κατά χώρα και στην Ολλανδία συμπληρώνεται περαιτέρω μέσω του Cybersecurity Act.

Βάση στην οδηγία και στο εθνικό νόμο

Η ίδια η NIS2 αναφέρεται στο άρθρο 21 παράγραφος 2 στα δέκα μέτρα που πρέπει να λάβουν οι οντότητες καθορισμένης και σημαντικής σημασίας, αλλά το ερώτημα ποια αρχή ασκεί εποπτεία παραλείπεται στην οδηγία και καθορίζεται συγκεκριμένα μόνο στη μεταφορά της εθνικής νομοθεσίας — στην Ολλανδία το Cybersecurity Act. Γι' αυτό το λόγο, ο σωστός χώρος αναφοράς για τον ακριβή εποπτικό φορέα ανά τομέα είναι το ίδιο το κείμενο αυτού του νόμου, συμπληρωμένο με τις δημοσιεύσεις των εποπτικών φορέων που διατηρεί το NCSC.