Kyberturvallisuuslaki: mitä Alankomaissa pätee
Alankomaiden NIS2-täytäntöönpano ja miksi siirtymäaikaa ei ole.
Ei siirtymäaikaa
Alankomaat on täytäntöönpannut NIS2:n kyberturvallisuuslaissa. Toisin kuin monissa muissa säädöksissä, siirtymäaikaa ei ole: velvoitteet ovat voimassa säädöksen voimaantulosta lähtien. Organisaatioiden, joita se koskee, on rekisteröidyttävä ja noudatettava hoitovelvoitetta.
Tämä on syy siihen, miksi siitä on nyt niin paljon puhetta. Tuhannet organisaatiot huomaavat tänä vuonna vasta, että ne kuuluvat siihen, ja niiden toimittajat huomaavat sen niitä seuraavien kyselyluetteloiden kautta.
Kuka tekee mitä
On olemassa valvontaviranomainen, joka valvoo täytäntöönpanoa, ja CSIRT, johon ilmoitukset lähetetään ja josta uhkatiedot saadaan. Joillakin sektoreilla on nimetty oma valvontaviranomainen; mikä se on, riippuu alastanne.
Valtio tarjoaa itse itsearvioita ja neuvontaa. Ne ovat hyviä ja ilmaisia, ja viitamme niihin. Missä lähdemme pidemmälle, on kysymys, joka tulee sen jälkeen: miten dokumentoit sen, miten pidät siitä kirjaa ja miten vastaat sen avulla asiakkaasi kyselyluetteloon.
Johtovelvoite
Seikka, joka on Alankomaissa säädöstty terävämmin kuin itse direktiivissä: johdon on hyväksyttävä toimenpiteet, valvottava niiden täytäntöönpanoa ja käytävä koulutusta siitä. Vastuu on johtajan henkilökohtainen ja sitä ei voi sopimuksella siirtää.
Työntekijöillä se on toisin. Heillä hoitovelvoitteesta seuraa koulutus, mutta laissa ei ole erillistä velvoitetta. Korostamme tätä eroa, koska se vaikuttaa siihen, mitä sinun on järjestettävä ja mitä se maksaa.
Usein kysytyt kysymykset
Missä rekisteröidyn?
Valvontaviranomaiselle sen portaalin kautta. Tarvitset sinne kirjautumisvälineen, joka on rekisteröity organisaatioosi. Valmistamme pyydetyt tiedot; lähettäminen tehdään itse.
Mitä tapahtuu, jos en rekisteröidy?
Rekisteröitymättä jättäminen on sinänsä rikkomus, riippumatta siitä, onko turvallisuutesi kunnossa. Se on myös ensimmäinen asia, jonka valvontaviranomainen näkee.
Ovatko vaatimukset alhaisemmat pienille organisaatioille?
Toimenpiteiden on oltava asianmukaisia ja oikeassa suhteessa, joten kyllä: kuusikymmentä henkilöä käsittävältä organisaatiolta odotetaan vähemmän kuin kuudentuhannesta. Mutta aiheet ovat samat, eikä rekisteröinti- ja ilmoitusvelvoitteisiin ole alennusta.
Tämä on selitystä, ei neuvontaa omaa tilannettanne varten. secria.eu ei arvioi organisaatiotanne eikä anna vakuutusta.