voiko johtokunta olla henkilökohtaisesti vastuussa NIS2-rikkomuksesta

Kyllä, oleellisten yksiköiden johdolle voi kohdistua henkilökohtainen vastuu

Oleellisten yksiköiden osalta direktiivin 2022/2555 21 artiklan 2 kohta mahdollistaa sen, että johtavat henkilöt voivat olla henkilökohtaisesti vastuussa organisaationsa kyberturvallisuustoimenpiteiden hyväksymisestä ja valvonnasta. Tämä ei ole sivuseikka direktiivissä: johdolla on oltava tieto riskienhallintotoimenpiteistä, se on hyväksyttävä ne ja valvonta on toteutettava aktiivisesti, eikä vain allekirjoitettava politiikkaasiakirja. Se, miten tämä täsmälleen toteutetaan — ketkä johtajat, millä ehdoilla ja millä seurauksilla — määritellään kansallisessa täytäntöönpanossa, Hollannissa kyberturvallisuuslaissa.

Tämä liittyy suoraan kysymykseen mitä tapahtuu, jos organisaatio ei noudata NIS2-velvoitteita: organisaatioon kokonaisuutena kohdistuvien toimenpiteiden lisäksi direktiivi käsittelee tällä säännöksellä erityisesti johtajaa luonnollisena henkilönä. Tämä on muutos verrattuna moniin muihin vaatimustenmukaisuusvelvoitteisiin, joissa oikeushenkilö on yleensä yhteyspisteenä ja johto pysyy etäällä. Tämän vastuun konkreettiseksi tekemiseksi on apua tietää mitkä kymmenen toimenpidettä on toteutettava NIS2:n mukaan — sillä hyväksyminen ja valvonta edellyttävät, että johto tietää, mistä on kyse, ei vain sitä, että jokin on hyväksytty.

Tämän perusta: 21 artikla ja kansallinen laki

Perusta on direktiivin 2022/2555 21 artiklan 2 kohdassa, joka antaa jäsenvaltioille mahdollisuuden asettaa oleellisten ja tärkeiden yksiköiden hallituksen jäsenet vastuuseen huolellisuusvelvoitteen rikkomisesta. Tarkka määritteleminen — kelle tämä koskee, millä olosuhteilla ja millä seurauksilla — kuuluu kansalliselle lainsäätäjälle; Hollannissa se on kyberturvallisuuslaki, ja NCSC antaa ohjausta siitä, miten huolellisuusvelvoite ja ilmoitusvelvoite käytännössä toteutetaan. Säännöksen tarkasta muotoilusta ja Hollannin kansallisen täytäntöönpanon tilasta on virallinen teksti lähtökohtana.