Rekisteröityminen valvontaviranomaiselle: miten se toimii?
Organisaatiot, jotka kuuluvat NIS2-direktiivin soveltamisalaan oleellisina tai tärkeimpinä kokonaisuuksina, on rekisteröitävä kansallisella valvontaviranomaisella. Rekisteröityminen tapahtuu portaalissa, jonka valvontaviranomainen on perustanut, ja siihen sisältyvät tiedot organisaatiostasi, yhteyshenkilöistäsi ja palveluistasi, joita tarjoat. Et saa kirjettä, joka muistuttaa sinua rekisteröitymisvelvollisuudesta: velvollisuus rekisteröityä on organisaation, ei valvontaviranomaisen, joka joutuu sinua etsimään.
Viimeinen seikka yllättää monet johtajistot. Muissa velvollisuuksissa – luvassa, vuosittaisessa ilmoituksessa – saat usein viestin viranomaiselta. Kyberturvallisuuslain rekisteröitymisvelvollisuuden tapauksessa se toimii toisin päin: valvontaviranomainen ei aluksi tiedä, mitkä organisaatiot kuuluvat lain soveltamisalaan, ja on siksi riippuvainen sinun omasta arviostasi ja toiminnastasi.
Mitä tietoja pyydetään
Rekisteröityminen pyytää yleensä organisaation tunnistetiedot, kuten nimen, kaupparekisterinumeron ja osoitteen, täydennettynä sektorilla ja toiminnalla, joissa kuulut lain soveltamisalaan. Lisäksi pyydetään tietoja yhdestä tai useammasta yhteyshenkilöstä, jota valvontaviranomainen voi tavoittaa, nimellä, puhelinnumerolla ja sähköpostiosoitteella – nämä ovat usein eri henkilöt kuin tavanomaiset yritysyhteyshenkilöt, koska kyse on tavoitettavuudesta poikkeamatilanteessa. Myös verkko- ja tietojärjestelmät tai palvelut, jotka ovat oleellisia tai tärkeitä koskevan kelpoisuuden kannalta relevantteja, ja joskus jäsenvaltiot, joissa tarjoat palveluita, kuuluvat valvontaviranomaisen haluamaan kuvaan.
Tarkat kentät ja lomakkeen rakenne vaihtelevat maittain, koska jokainen jäsenvaltio muuntaa direktiivin omaksi kansalliseksi lainsäädännöksi ja valvontaviranomainen itse perustaa portaalin. Mitä Alankomaissa pyydetään, ei välttämättä vastaa yksittäisesti sitä, mitä valvontaviranomainen pyytää tytäryhtiöltä toisessa maassa.
Miksi kirjettä ei tule
Rekisteröitymisvelvollisuus on asetettu organisaation velvollisuutena, ei valtion kutsuna. Valvontaviranomaisella ei ole alussa täyttävää luetteloa siitä, kuka on aktiivinen missä ja mikä kynnys on sovellettava – nämä tiedot on saatava sektorilta itsestään. Tämä on verrattavissa siihen, miten kaupparekisteröityminen tai arvonlisäveroilmoitus toimii: vastuu toimia oikea-aikaisesti on yrittäjällä, vaikka kukaan ei lähettäisi muistutusta.
Monille pienille ja keskisuurille yrityksille, joita ketjun kautta koskettaa, tämä ei ole asiaa: vain oleelliset ja tärkeät kokonaisuudet itse ovat rekisteröitymisvelvollisuuden alaisia. Yritykset, jotka saavat vain kyberturvallisuuskyselylistan ostajaltaan, joka lain piiriin kuuluu, eivät itse rekisteröidy valvontaviranomaiselle. Onko organisaatiosi ensimmäisessä vai toisessa ryhmässä, ei ole aina heti selvää; muutamalla kysymyksellä näet, missä organisaatiosi seisoo antaa siihen ensimmäisen suunnan ja selityksen jokaiselle tulokselle.
Milloin rekisteröidä
Kansallinen laki määrittää, missä ajassa ja mistä hetkestä organisaation on rekisteröitävä sen jälkeen, kun se kelpoistetaan oleelliseksi tai tärkeäksi kokonaisuudeksi. Nämä määräajat ovat direktiivin kansallisessa muunnoksessa ja valvontaviranomaisen omilla verkkosivuilla, ja ne voivat muuttua, kun lainsäädäntöä kehitetään edelleen. Nykyistä tilannetta varten sinun tulee ottaa yhteyttä pätevään valvontaviranomaiseen tai oikeusneuvonantajaan, et yleisartikkeliin – valvontaviranomaisen sivuston päivitys tai ilmoitus on tässä kohdin ratkaiseva, ei missään tallennettu päivämäärä.
Mitä secria.eu tekee ja mitä se ei tee rekisteröitymisessä
Alusta auttaa valmistelemaan tekstin ja tiedot, jotka tarvitset rekisteröintilomakkeen täyttämiseen: mitkä yhteyshenkilöt sinun on toimitettava, mikä sektori- ja toimintakuvaus vastaa sitä, miten valvontaviranomainen luokittelee, ja mikä perustelu luokituksen takana on. Se, mitä se nimenomaisesti ei tee, on toimittaa sitä puolestasi. Toimitat itse valvontaviranomaisen portaaliin; secria.eu valmistelee tekstin, sinä sijoitat sen. Miten tämä valmistelu tarkalleen ottaen tapahtuu ja mitä lähteitä siihen käytetään, on selitetty osoitteessa sivulle siitä, miten tiedot syntyvät.
Epäilys omasta tilanteestasi
Se, riippuuko rekisteröinti organisaatioosi, riippuu siitä, millä sektorilla olet aktiivinen, organisaatioosi koko ja kansallinen laki, joka koskee sinua. Tämä ei ole kysymys, johon yksi yleinen artikla voi vastata sinun spesifisesti tilanteessasi; tätä varten pätevä valvontaviranomainen tai lakimies on asianmukainen yhteyspisteesi. Usein kysyttyjä käytännön kysymyksiä rekisteröinnistä, ilmoitusvelvollisuudesta ja toimittajien roolista on koottu osoitteeseen sivulle usein kysytyistä kysymyksistä.
Haluatko ensin yleiskatsauksen kaikista NIS2-direktiivin ja kyberturvallisuuslain ympärillä olevista aiheista, sektorijaottelusta kymmenen riskienhallintatoimenpiteeseen? Löydät sen, tilanteesi mukaan valittuina, osoitteesta yleiskatsaussivu kaikista aiheista. Ja jos et vielä tiedä, ovatko rekisteröinti on sinun kohdallasi, ilmainen pikaluotaus on nopein ensimmäinen askel saadaksesi näkemystä siihen.