Olet jossain lukenut, että NIS2-sakot voivat nousta kymmeneen miljoonaan euroon tai kahteen prosenttiin liikevaihdosta, ja ihmetyt, voiko se koskea sinua. Lyhyt vastaus: nuo summat todellakin ovat richtliinejä, mutta ne on tarkoitettu olennaisille ja tärkeille yksiköille — organisaatioille, jotka itse kuuluvat NIS2:n soveltamisalaan, joilla on riskienhallinnan velvoite, rekisteröintivelvoite ja ilmoitusvelvoite. Jos yrityksesi ei kuulu siihen mutta toimitat tällaiselle organisaatiolle, sakko ei ole riski, jonka vuoksi sinun pitäisi olla huolissasi.
Riski, jonka todennäköisesti kohtaat, on käytännöllisempi ja tulee nopeammin: ostaja, joka itse on riskienhallinnan velvoitteen alainen, on velvoitettu arvioimaan toimittajansa. Jos et pysty vastaamaan kysymyslistaan tai osoittamaan sopimuksellisia vaatimuksia, seurauksena ei yleensä ole sakko vaan sopimuksen menetys. Tämä prosessi kestää usein viikkoja, ei vuosia.
Niille, joille sakko on todella tarkoitettu
Richtliin kohdistaa täytäntöönpanon organisaatioihin, jotka ovat itse velvoitettuja: liitteen I ja II alojen olennaisiin ja tärkeisiin yksiköihin. Heille kansallinen laki — Suomessa on vastaavanlainen säädöksellinen kehikko — määrää, kuinka valvontaviranomainen toimii, jos riskienhallinnan velvoite tai ilmoitusvelvoite on laiminlyöty. Jos et itse ole velvoitettu mutta toimitat tällaiselle yksikölle, et ole osapuoli siinä täytäntöönpanoprosessissa. Tunnet richtliinin vaikutukset, mutta ostajasi sopimusvaatimusten kautta, et oman nimesi sakon päätöksessä. Jos epäröit, kuuluuko organisaatiosi itse lain soveltamisalaan, sen voit selvittää muutamalla kysymyksellä tarkistusta käyttämällä, joka kartoittaa tilanteesi muutamassa vaiheessa.
Mitä richtliin mainitsee summista
Richtliin mainitsee korkeimmat summat olennaisille ja tärkeille yksiköille, ja olennaisille yksiköille korkeamman rajan kuin tärkeille. Kussakin tapauksessa on kyse korkeimmasta arvosta kiinteästä summasta tai maailmanlaajuisen vuosiliikevaihdon prosenttiosuudesta — ei siis automaattisesti koko summaa jokaisen rikkomuksen yhteydessä. Miten valvontaviranomainen yksittäisessä tapauksessa punnitsee ja mikä summa todellakin määrätään, ei ole richtliissä määrätty ja on kunkin valvontaviranomaisen harkinnassa. Me emme tarkoituksellisesti ennusta sitä; mitä richtliin ja kansallinen laki tarkalleen sanovat, voit lukea virallisesta tekstistä ja valvontaviranomaisen julkaisuista.
Miksi sopimus tulee ennen sakkoa
Sakkomenettely alkaa yleensä vasta signaalien, tutkimuksen ja korjausmahdollisuuden jälkeen — se vie aikaa. Hankintatutkija, joka lähettää tietoturvakysymyslistan, ei odota sitä. Jos vastaus puuttuu tai on puutteellinen, tilaus annetaan usein yksinkertaisesti toiselle toimittajalle tai sinulle annetaan muutosaika, jonka sinun on täytettävä. Se tekee keskustelusta ostajasi kanssa useimmille pk-yrityksille kiireellisemmäksi kuin kysymykseksi siitä, tulee koskaan sakko näkyviin. Lue lisää siitä, mikä todellakin on tällaisen kysymyslistan takana, aiheisiin jaetun yleiskatsauksen kautta.
Mitä tämä tarkoittaa, jos olet toimitusketjuun liittyvä
Jos et itse ole velvoitettu mutta olet velvoitettavan organisaation toimittaja, kysymys ei ole siitä, uhkaako sakko, vaan siitä, voitko osoittaa, että sinulla on pyydetyt toimenpiteet kunnossa. Se käsittelee todisteita, omistajaa jokaista toimenpidettä kohti ja vastausta, jota et tarvitse keksimään uudelleen joka kerta. Kun olet dokumentoinut sen kerran, vastaataan seuraavaan kysymyslistaan paljon pienemmällä vaivalla. Usein esitettävät kysymykset siitä, mitä sinulta saa ja ei saa vaatia, on kerätty sivulle usein kysytyistä kysymyksistä.
Jos olet itse olennainen tai tärkeä yksikkö, sakko lasketaan viimeisenä keinona, mutta riskienhallinnan velvoite itsessään on varsinainen työ: toimenpiteet, dokumentointi ja näyttäminen. Miten tämä prosessi on järjestettävä ja mistä tämän sivuston tieto tulee, on selitetty sivulla, joka selittää kuinka alusta toimii.
Haluatko tietää, kuuluuko organisaatiosi itse NIS2:n soveltamisalaan vai pelkästään ostajan kautta? Tee ilmainen NIS2-tarkistus tai lue rauhassa tietopankista — molemmat ovat saatavilla ilman tiliä.