Te olete kusagil lugenud, et NIS2-trahvid võivad ulatuda kuni kümnele miljonile eurole või kahele protsendile käibest, ja te küsite endalt, kas see võib teile juhtuda. Lühike vastus: need summad on tõepoolest direktiivis kirjas, kuid need on mõeldud oluliste ja tähtsate üksuste jaoks — organisatsioonidele, mis ise NIS2 alla kuuluvad, omades riskijuhtimismeetmete kohustust, registreerimiskohustust ja avaldamiskohustust. Kui teie ettevõte sinna ei kuulu, kuid te müüte sellisele organisatsioonile, siis trahv pole risk, mille pärast te öösel ärkvel peaksite olema.
Risk, mis teid pigem tabab, on praktilisem ja käib kiiremini: ostja, kes ise riskijuhtimismeetmete kohustuse all on, peab oma tarnijaid hindama. Kui te ei saa küsimustikule vastata või te ei saa lepingutingimusi tõendada, siis tavaliselt pole tagajärg trahv, vaid lepingu kaotus. See protsess võtab sageli nädalaid, mitte aastaid.
Kellele trahv tegelikult on mõeldud
Direktiiv suunab jõustamise organisatsioonidele, kes ise kohustuslased on: olulised ja tähtsad üksused I ja II lisas toodud sektoritest. Neile määrab riiklik seadus — Hollandis küberjulgeolekuseadus — kuidas järelevalveasutus tegutseb, kui riskijuhtimismeetmete kohustust või teatamiskohustust ei ole täidetud. Kui te ei ole ise kohustuslane, kuid te müüte sellisele üksusele, siis te ei ole selles jõustamisprotsessis osapool. Te märkate direktiivi küll, kuid läbi oma ostja lepingutingimuste, mitte otsese trahvimääruse kaudu. Kui teil on kahtlusi, kas teie organisatsioon ise seaduse alla kuulub, siis seda saab välja selgitada paari küsimuse abil kontrolli kaudu, mis kaardistab teie olukorra paari sammuga.
Millised summad direktiivis mainitakse
Direktiiv mainib oluliste ja tähtsate üksuste maksimaalseid summasid, kusjuures oluliste üksuste puhul on kõrgem piirang kui tähtsate üksuste puhul. Käib alati suurema vastava fikseeritud summa või maailmamüügi protsentides — seega mitte automaatselt täielik summa iga rikkumise korral. Kuidas järelevalveasutus konkreetsel juhul kaalub ja milline summa tegelikult määratakse, pole direktiivis fikseeritud ja sõltub pädevast järelevalveasutusest. Me ei tee teadlikult prognoose; mida direktiiv ja riiklik seadus täpselt ütlevad, saate lugeda ametlikust tekstist ja järelevalveasutuse väljaannetest.
Miks leping tuleb trahvile ette
Trahviprotsess algab tavaliselt alles pärast signaalide, uurimise ja parandamise võimaluse andmist — see võtab aega. Ostajaosakonnd, kes küberjulgeoleku-küsimustiku saadab, seda oodata ei jää. Kui vastus puudub või on mittetäielik, omistatakse tellimus sageli lihtsalt teisele tarnijale või antakse teile tähtaeg, mille peate ise täitma. See muudab suhte oma ostjaga enamiku väikeettevõtete jaoks nagunähtavalt pakilisemaks kui küsimus, kas trahv kunagi silmamuudule tuleb. Rohkem selle kohta, mis täpselt sellise küsimustiku taga on, leiate teemade ülevaatest, mis iga olukorra jaoks välja on otsitud.
Mida see tähendab, kui te olete ahelas osalev
Kui te ise ei ole kohustuslane, kuid te müüte kohustusliku organisatsiooni, siis küsimus pole, kas trahv ähvardab, vaid kas te saate tõendada, et teil on nõutavad meetmed korrast. See käib tõendite, meetmete omaniku ja vastuse kohta, mida te ei pea iga kord uuesti välja mõtlema. Kes selle kord ära märkis, vastab järgmisele küsimustikule palju vähem tööga. Korduma kippuvad küsimused selle kohta, mida teilt võib ja mida ei tohi nõuda, on koondatud sagedamini esitatud küsimuste leht.
Kui te ise olete oluline või tähtis, siis trahv loeb viimse abinõuna, kuid ise riskijuhtimismeetmete kohustus on tegelik töö: meetmeid võtta, dokumenteerida ja näidata. Kuidas see protsess on üles ehitatud ja kust selle saidi teave pärineb, on selgitatud lehel mis selgitab, kuidas platvorm töötab.
Kas soovite teada, kas teie organisatsioon ise NIS2 alla kuulub või ainult ostja kaudu saadetakse? Tehke tasuta NIS2-kontroll või lugege kõigepealt rahulikult teadmusbaasi läbi — mõlemad on konto ilma juurdepääsuga.