Registracija kod nadzornog tijela: kako to funkcionira?
Organizacije koje prema Direktivi NIS2 spadaju u kategoriju kritične ili važne infrastrukture dužne su da se registriraju kod nacionalnog nadzornog tijela. Registracija se vrši preko portala koji nadzorno tijelo obezbjeđuje, sa podacima o vašoj organizaciji, kontakt osobama i uslugama koje pružate. Nema pisma koje vas na to podseća: obaveza registracije je na samoj organizaciji, a ne na nadzornom tijelu da vas pronađe.
Ovo često iznenađuje direktore. Za druge obaveze — dozvolu, godišnju prijavu — obično dobijate signal od same institucije. Kod obaveze registracije prema Zakonu o kibernetskoj sigurnosti to funkcionira obrnuto: nadzorno tijelo u početku ne zna koje organizacije spadaju pod zakon, pa je zato ovisno od vaše vlastite procjene i akcije.
Koji se podaci traže
Registracija obično traži podatke za identifikaciju organizacije, kao što su naziv, broj iz poslovnog registra i adresa, dopunjeni sektorom i djelatnosti zbog kojih spadate pod zakon. Osim toga, traže se jedna ili više kontakt osoba koje nadzorno tijelo može kontaktirati, sa imenom, brojem telefona i e-mail adresom — to su često drugačije osobe od uobičajenih kontakt osoba u poslovanju jer se radi o dostupnosti u slučaju incidenta. Mrežne i informacijske sisteme ili usluge relevantne za klasifikaciju kao kritične ili važne infrastrukture, a ponekad i države članice u kojima pružate usluge, dio su slike koju nadzorno tijelo želi da dobije.
Tačna polja i raspored obrazca se razlikuju od zemlje do zemlje jer svaka članica direktivu pretvara u vlastito nacionalno zakonodavstvo i nadzorno tijelo samo uređuje portal. Ono što se u Holandiji traži, dakle, ne mora se nužno poklapati s onim što nadzorno tijelo u drugoj zemlji traži od kćerske organizacije tamo.
Zašto ne dolazi pismo
Obaveza registracije je postavljena kao obaveza organizacije, a ne kao poziv vlade. Nadzorno tijelo na početku primjene zakona nema potpunu listu ko gdje je aktivan i pod koji prag pada — te informacije moraju doći od samog sektora. To je uporedivo sa tim kako funkcionira upisivanje u poslovni registar ili prijava poreza: odgovornost da se tijela na vrijeme pokrenu leži na preduzetniću, čak i ako nikada ne dobijete podsetnik.
Za mnoga mala i srednja preduzeća koja su zahvaćena kroz lanac nabavke, ovo ionako nije pitanje: samo kritične i važne infrastrukture imaju obavezu registracije. Preduzeća koja primaju samo listu sigurnosnih pitanja od kupca koji je pod zakonom, ne registriraju se sama kod nadzornog tijela. Da li vaša organizacija spada u prvu ili drugu grupu, nije uvijek odmah jasno; u nekoliko pitanja vidjeti gdje vaša organizacija stoji daje prvi smjer za to, sa pojašnjenjem za svaki ishod.
Kada registrovati
Nacionalni zakon određuje rok i početnu točku od koje se organizacija mora registrovati nakon što se kvalifikuje kao kritična ili važna infrastruktura. Ti rokovi stoje u nacionalnoj implementaciji direktive i na web-stranici samog nadzornog tijela, i mogu se mijenjati kako se zakonodavstvo dalje razvija. Za trenutno stanje trebali biste kontaktirati nadleško nadzorno tijelo ili pravnika, a ne opšti članak — promjena na web-stranici ili obavijest nadzornog tijela je u ovoj točki mjerodavna, a ne datum koji je negdje pohranjen.
Šta secria.eu čini i šta ne čini pri registraciji
Platforma vam pomaže pri pripremi teksta i podataka koje trebate za popunjavanje registracijskog obrasca: koje osobe za kontakt trebate dostaviti, koja sektorska i opisna kategorija odgovara kako nadzorni organ kategorizira, i koje su osnove za kvalifikaciju. Ono što izričito ne čini je da podnese zahtjev u vaše ime. Vi sami podnosite zahtjev putem portala vašeg nadzornog organa; secria.eu priprema tekst, vi ga postavljate. Kako se ta priprema provodi i koje se izvori koriste, objašnjeno je na stranici o tome kako se informacije razvijaju.
Nedoumice o vašoj situaciji
Trebate li se i kada se registracija vaše organizacije provodi ovisi o sektoru u kojem poslujete, veličini vaše organizacije i nacionalnom zakonu koji se na vas primjenjuje. To nije pitanje na koje jedan opći članak može odgovoriti za vašu specifičnu situaciju; za to je nadležni nadzorni organ ili pravnik odgovarajući kontakt. Često postavljena praktična pitanja o registraciji, obavezi prijave i ulozi dobavljača savedena su na stranici sa često postavljanim pitanjima.
Želite li prvo pregled svih tema vezanih uz Direktivu NIS2 i Zakon o kibernetskoj sigurnosti, od sektorske podjele do deset mjera za upravljanje rizicima? Možete ih pronaći, odabrane prema vašoj situaciji, na stranici pregleda sa svim temama. A ako još ne znate je li se registracija na vas primjenjuje, besplatna brza provjera najbrži je prvi korak da to jasno vidite.