Lühike vastus
Osa ICT-teenuste pakkumisest on NIS2 sektorite loetelu nimepidi märgitud ja võib seega ise kriitiliseks või väga kriitiliseks organisatsiooniks saada. Mõelge hallatavate teenuste pakkujatele ja hallatavate küberjulgeoleku teenuste pakkujatele, pilvepakkujatele ja andmekeskustele. Kuid enamik ICT-teenusepakkujaid — kohalik võrguadministraator, kaugelt servereid hooldav pool, ärirakenduse tarnija — ei kuulu ise sektorite loetellu. Neid mõjutatakse sageli siiski, nimelt seetõttu, et nende klient on seaduse alusel seda kohustatud: kriitiliseks või väga kriitiliseks organisatsiooniks peetav asutus peab nimelt hindama, kui turvaline tema tarnijatest on, ja ICT-teenusepakkuja, kellel on juurdepääs süsteemidele, on sellisele hindamisele ilmselt asjaomane pool.
See, kas te olete ise kohustatud või ketis mõjutatud, sõltub seega kolmest asjast kõrvuti: kas teie teenuste liik on sektorite loetelu sees, saavutab teie organisatsioon selle juurde kuuluva mahtu, ja mis on teie tegelik roll klientide juures, kes ise on kohustatud. Need kolm tegurit määravad koos vastuse ja toimivad üksteisest sõltumatult — te võite mahtu saavutada ilma õige sektori kuulumiseta, või olla täpselt õige sektori piires ilma mahtu saavutamata.
Mida sektorite loetelu ICT-teenuste kohta ütleb
NIS2 richtlijn eristab kõrge kriitilisuse sektoreid ja muid kriitilisi sektoreid. Digitaalse infrastruktuuri ja digitaalse teenuse pakkumise piires on nimepidi märgitud muuhulgas hallatavate teenuste pakkujad (managed service providers) ja hallatavate küberjulgeoleku teenuste pakkujad (managed security service providers), lisaks pilveteenuste, andmekeskuste ja veebimärkide ning otsingumootoritena tegutsevate teenusepakkujate pakkumisi. Kes neist ühe nimetuse alla kuulub, läbib sama testi kui iga teine sektor: vastab teie teenus richtliivis antud kirjeldusele, ja kui jah, millises kategoorias.
Kes puhta tarkvara pakub, veebisaiti ehitab või teostab juhuslikkult IT-projekte ilma jätkuva haldustööta, jääb tavaliselt sellest konkreetsest kirjeldusest välja — kuigi täpne piiritlus on midagi iga otsesituatsiooni jaoks, mitte üldise reegli jaoks. Kui teil on kahtlusi, millise kirjelduse alla teie teenuste pakkumine kuulub, on see üks neist punktidest, kus mõned küsimused annavad esimese näituse abiga, viidatuga richtliivi täpsele asukohale.
Maht on sama tähtis kui sektor
Sektor üksinda ei piisa, et olla kriitiseks või väga kriitiliseks organisatsiooniks. NIS2 kasutab suuruse kriteeriume, mis vastavad keskmise ja suure ettevõtte standardseadele: töötajate arv ja käive või bilansi kogumaht mängivad rolli kategooria määramisel. Üksikettevõtja, kes pakub võrguadministreerimist käputäis kohalikele ettevõtetele, asub mahus tavaliselt teises kategoorias kui riiklik IT-teenusepakkuja, kelle meeskond loeb sadu, kuigi mõlemad pakuvad sisuliselt sama teenust.
Richtliivi üle võtavad rahvuslikud seadused — Hollandis Cyberbeveiligingswet — töötavad need kriteeriumid täpsemalt välja ja järelevalveasutus avaldab sellest praktilist selgitust. Me jälgime neid allikaid koos kuupäevaga, mil me neid nägime, et te saaksite küsida, millal on näitus kehtestatud.
Kaughaldustöö ja juurdepääs klientide süsteemidele: keti asend
Eriti IKT-teenuse pakkumise puhul on sageli ketipositsioon otsustav tegur, olenemata sektorist ja suurusest. Kaugjuhtimine, juurdepääs kliendi võrgusse, paroolijuhtimine või kriitilise rakenduse hooldamine kliendi juures — need on just omadused, mida klient arvestab oma tarnijate hindamisel. Nimelt peab kriitilisele tegevusele või tähtsale üksusele kuuluv asutus suutma näidata, et tarneahelas olevad riskid on teada, ning tarnija, kellel on juurdepääs süsteemidele, on sellisel juhul kõrge kohal, sõltumata sellest, kas see tarnija ise sektorite loendis esineb.
See seletab, miks paljud IKT-teenuse pakkujad, kuigi nad ise ei ole kohustatud, saavad siiski turvalisuse küsitluse või lepingutingimused. See ei ole nende peale otseselt laienev õiguslik kohustus, vaid praktiline nõue, mis tuleb kliendi kaudu — ja mis võib kindlasti lepingut mõjutada.
Alamettevõtjad: ahel ei lõpe teie juures
Kes ise alamettevõtjatega töötab — vabakutseline süsteemiadministraator, hosting'u pakkuv ettevõte, väline abikeskus — edastab seda küsimust praktikas edasi. Kui teie klient tahab teada, kuidas on juurdepääs süsteemidele korraldatud, on suur tõenäosus, et esitate sama küsimuse oma alamettevõtjatele. Nii liigub ketihindamine mitme lüli sügavusele, isegi kui keegi selles ahelas ise sektoriloendi alla ei kuulu.
Mida see teie dokumendikogu jaoks tähendab
Kas te ise olete kohustatud, kas teid mõjutab ainult ahel, või kumbki neist ei kehti, määrab, kuidas teie ettevalmistamine välja näeb: täielik hoolsuskohustuse dokumendikogu, sihtotstarbelised vastused klientide küsitlustele või praegu mingeid tegevusi ei ole vaja. Kümne meetme ülevaate, mida hoolsuskohustus teilt ootab, ja nende suhet sellega, mida klient küsitlustes küsib, leiate selgituse iga teema kohta. Küsimuses, kuidas secria.eu allikaid jälgib ja millele näidustus põhineb, on tööviis hea lähtepunkt, ja sagedamini esitatud küsimused seaduse rakendamisalast on koondatud küsimuste ja vastuste ülevaatesse.
Alustage nis2-kontrollga, et näha, kas teie teenuse pakkumine sektoriloendis esineb, milline suurus mängib rolli ja mida teie positsioon ahelas teie jaoks tähendab — tasuta ja ilma kontota.