Spada li moje poduzeće pod NIS2?
Dvije stvari to određuju: vaš sektor i vaša veličina. Ali postoji treća grupa koja pada izvan toga i ipak dobiva zahtjeve.
Sektor i veličina, tim redoslijedom
NIS2 je Europska direktiva o zaštiti mrežnih i informacijskih sustava. Ona označava osamnaest sektora, podijeljenih na dva priloga. Prilog I su sektori od visoke kritičnosti: energetika, promet, zdravstvo, voda za piće, digitalna infrastruktura, javna uprava. Prilog II su ostali kritični sektori, kao što su poštanske službe, upravljanje otpadom, kemikalije, prehrambene životinje, industrija i davatelji digitalnih usluga.
Ako vašeg sektora nema na popis, tada ne padate pod to. Ako je tu, tada se broji vaša veličina. Od približno pedeset zaposlenih ili deset milijuna eura prihoda, vi ste srednjeg veličina i primjenjuju se obveze. Ako ste veći od dvjesto pedeset zaposlenih ili pedeset milijuna prihoda i nalazi se u prilogu I, tada ste kritična entiteta i podliježete nadzoru unaprijed. Ostatak su važne entitete: ista obveza razumnog nadzora, ali nadzor samo ako postoji razlog.
Treća grupa, i ona je najveća
Daleko većina organizacija koje se s tim susreću ne padaju same pod to. Oni opskrbljuju nekoga tko je pod tim. Naime, direktiva obvezuje organizacije koje su obavezane da procijene zaštitu svojih dobavljača, a to čine upitnicima i zahtjevima u ugovoru.
Za vas to znači nema obveze registracije, nema obveze obavijesti i nema kazne. Ali dolazi kupac koji želi odgovor, a će ugovor staviti drugdje ako ga ne možete dati. U praksi, to pogađa više poduzeća i brže nego sam zakon.
Iznimke koje ne smijete propustiti
Čak i ispod praga možete biti obavezani. Ako ste jedini pružatelj usluge u članici, ili bi prekid vaše usluge imao velike društvene posljedice, vaš nadzorni organ vas može svejedno označiti. Pružatelji javnih elektroničkih komunikacijskih usluga i pružatelji usluga povjerenja padaju pod to bez obzira na njihovu veličinu.
Obrnuto, nešto se primjenjuje. Banke i financijska tržišta u praksi padaju pod DORA, uredbu o digitalnoj otpornosti financijskog sektora. To se primjenjuje kao poseban režim. Ako se prepoznajete u tome, potražite savjet o tome.
Često postavljana pitanja
Hoću li biti obaviješten ako padnem pod to?
Ne, i to je zamka. Neće doći pismo. Morate to sami utvrditi i sami se registrirati kod nadzornog organa.
Što ako krivo procijenim?
Pogrešno misliti da pod to ne padaš je najskupniji scenarij: kazne dosežu deset milijuna eura ili dva posto svjetskog prihoda, a uprava je osoba odgovorna. Ako ste u nedoumici, pretpostavite da je tako i pustite da se provjeri.
Primjenjuje li se to i na moju inozemnu filijalu?
Direktiva se primjenjuje u cijeloj EU, ali obveze nastaju zakonima nacionalne države svakog zemlje, i nisu svugdje jednako napredne. Registrirate se u državi gdje ste nastanjeni; ako imate više filijala, to može biti na nekoliko mjesta.
Ovo je objašnjenje, a ne savjet o vašoj osobnoj situaciji. secria.eu ne procjenjuje vašu organizaciju i ne daje jamstva.