Negdje ste pročitali da kazne prema NIS2 mogu dosegnuti deset milijuna eura ili dva posto prometa, i pitate se može li se to dogoditi vama. Kratak odgovor: ti iznosi doista stoje u direktivi, ali namijenjeni su za subjekte koji se sami svrstavaju pod NIS2 — organizacije sa obvezom zaštite, obvezom registracije i obvezom prijave incidenata. Ako vaše poduzeće ne spada u tu kategoriju, ali isporučuje takvoj organizaciji, kazna nije rizik zbog kojeg biste trebali biti zabrinuti.
Rizik koji vas prije može dosegnuti je praktičniji i dolazi brže: kupac koji sam ima obvezu zaštite mora procijeniti svoje dobavljače. Ako ne možete odgovoriti na popis pitanja ili dokazati ispunjavanje ugovornih zahtjeva, rezultat obično nije kazna već gubitak ugovora. Taj proces obično traje tjednima, ne godinama.
Za koje je kazna stvarno namijenjena
Direktiva usmjerava nadzor na organizacije koje su same obvezane: subjekte od bitnog ili važnog značaja iz sektora popisa I i II. Za njih nacionalni zakon — u Nizozemskoj Zakon o kibernetskoj sigurnosti — određuje kako nadzorni organ djeluje ako nije ispunjena obveza zaštite ili obveza prijave. Ako sami niste obvezani ali isporučujete takvom subjektu, niste stranka u tom nadzornom postupku. Direktiva vas dotakne, ali kroz ugovorne zahtjeve vašeg kupca, a ne kroz odluku o kazni na vaše ime. Ako niste sigurni spada li vaša organizacija sama pod zakon, to se može razjasniti s nekoliko pitanja kroz provjeru koja vaš položaj prikazuje u nekoliko koraka.
Iznosi koje navodi direktiva
Direktiva sama navodi maksimalne iznose za subjekte od bitnog i važnog značaja, s višim limitom za subjekte od bitnog značaja nego za one od važnog značaja. Uvijek se radi o većem iznosu između fiksnog iznosa ili postotka godišnjeg svjetskog prometa — dakle ne automatski puni iznos pri svakoj povredi. Kako nadzorni organ u konkretnom slučaju broji, i koja se kazna zaista nameće, nije utvrđeno direktijom i prepušteno je nadležnom nadzornom organu. Namjerno ne dajemo predviđanja o tome; što direktiva i nacionalni zakon točno kažu, možete pročitati kroz službeni tekst i objave nadzornog organa.
Zašto ugovor dolazi prije kazne
Postupak kaznjivanja obično počinje tek nakon signala, istrage i mogućnosti oporavka — to traje. Odjel nabave koji šalje popis sigurnosnih pitanja ne čeka na to. Ako odgovor nedostaje ili je nepotpun, narudžba se često jednostavno dodjeljuje drugom dobavljaču, ili dobijate rok za ispravljanje koji trebate ispuniti sami. To razgovor s vašim kupcem čini hitnije za većinu MKB-poduzeća nego pitanje dolazi li ikad kazna. Više o tome što točno stoji iza takvog popisa pitanja, pročitajte u pregledu tema koje su razrađene po situaciji.
Što ovo znači ako ste pogođeni kroz lanac dobave
Ako sami niste obvezani ali ste dobavljač pobligatne organizacije, pitanje nije dolazi li kazna nego možete li dokazati da ste dotične mjere stavili u red. To se odnosi na dokaze, vlasnika za svaku mjeru i odgovor koji ne trebate svaki put ponovno izumiti. Tko to jednom fiksira, sljedećem popisu pitanja odgovara s manje posla. Česta pitanja što se od vas smije i ne smije tražiti, skupljena su na stranici sa često postavljanim pitanjima.
Ako ste sami od bitnog ili važnog značaja, kazna se broji kao krajnja opcija, ali sama obveza zaštite je pravi posao: provesti mjere, zabilježiti ih i moći ih pokazati. Kako je proces strukturiran i odakle informacije na ovoj stranici dolaze, objašnjeno je na stranici koja objašnjava kako platforma radi.
Želite li znati spada li vaša organizacija sama pod NIS2, ili vas dostiže samo kroz kupca? Obavite besplatnu provjeru NIS2, ili prvo mirno pročitajte kroz znanja — oboje su dostupni bez računa.