kas juhatuse liikmed võivad olla isiklikult vastutavad NIS2 rikkumise eest

Jah, oluliste üksuste puhul võib juhtkondi isiklikult vastutusele võtta

Oluliste üksuste puhul näeb NIS2-direktiivi 21. artikli 2. lõige ette võimalust, et juhid võetakse isiklikult vastutusele nende organisatsiooni küberkaitseabinõude heakskiidu ja järelevalve eest. See pole direktiivis kõrvaline küsimus: juhtkond peab riskijuhtimisabinõude tundma, neid heaks kiitma ja nende üle aktiivselt järelevalvet pidama, mitte ainult poliitikadokumendi allkirjastama. Kuidas see täpselt toimib — millised juhid, millistel tingimustel ja milliste tagajärgedega — määratakse rahvuslikus rakendamises, Hollandis küberkaitseseaduses.

See käib otse küsimusega mis juhtub, kui organisatsioon ei täida nis2 kohustusi: lisaks organisatsioonina tervikuna võetavate abinõude kõrval suunab direktiiv selle sättega ennast konkreetselt juhti kui füüsilist isikut. See on nihe võrreldes paljude teiste järelevalvekohuslustega, kus juriidiline isik on tavaliselt kontaktpunkt ja juhtkond jääb kõrvale. Selle vastutuse konkreetseks muutmiseks on kasulik teada millised kümme abinõdu peavad nis2 kohaselt võetud olema — sest heakogumise ja järelevalve eeldavad, et juhatus teab, millest on juttu, mitte ainult seda, et midagi on heakskiidetud.

Millel see põhineb: artikkel 21 ja rahvuslik seadus

Aluseks on Euroopa Liidu direktiivi 2022/2555 artikli 21 lõige 2, mis annab liikmesriikidele võimaluse võtta juhatuse liikmed vastutusele kriitilise infrastruktuuri kaitse nõuete rikkumiste eest. Täpne rakendamine — kellele see kehtib, millistel asjaoludel ja milliste tagajärgedega — on rahvuslike seadusandjate pädevus; Hollandis on see küberturvalisuse seadus ja NCSC annab juhiseid selle kohta, kuidas kriitilise infrastruktuuri kaitse nõudeid ja teatamiskohustust praktikas rakendatakse. Määruse täpse sõnastuse ja Hollandi rakendamise staatuse osas on maßstaabiks ametlik tekst.