Kratak odgovor
Dio ICT-uslužne djelatnosti izričito je nabrojan na NIS2-listi sektora i može stoga biti sam po sebi kritičan ili važan. Pomislite na pružatelje upravljanih usluga i upravljanih usluga sigurnosti, pružatelje usluga u oblaku i centre podataka. Ali većina ICT-davatelja usluga — lokalni administrator mreže, strana koja održava poslužitelje na daljinu, dobavljač poslovne aplikacije — nisu sami obuhvaćeni listom sektora. Često su pogođeni upravo zato što to zakona obvezuje njihova klijenta: naime, kritična ili važna entitet mora procijeniti koliko su sigurni njezini dobavljači, a ICT-davatelj usluga s pristupom sustavima je za tu procjenu очigledna stranka.
Pročvali li vi sami kao obavezni ili ste pogođeni lancem, ovisi o tri čimbenika zajedno: nalazi li se vaš tip usluge na listi sektora, dostiže li vaša organizacija veličinu koja joj pripada, i koja je vaša stvarna uloga kod klijenata koji su sami obavezni. Ti tri čimbenika zajedno određuju odgovor, i djeluju međusobno neovisno — možete dosegnuti veličinu bez da ste u pravo sektoru, ili biti točno u sektoru bez da dosižete veličinu.
Što lista sektora kaže o ICT-uslužnoj djelatnosti
NIS2-richtlijn razlikuje sektore visoke kritičnosti i druge kritične sektore. Unutar digitalne infrastrukture i digitalne uslužne djelatnosti posebno se navode pružatelji upravljanih usluga (pružatelji upravljanih usluga) i pružatelji upravljanih usluga sigurnosti (pružatelji upravljanih usluga sigurnosti) pored usluga računalnog oblaka, centara podataka i pružatelja internetskih tržišta i tražilica. Tko spada pod jednu od tih kategorija, prolazi istu provjeru kao svaki drugi sektor: odgovara li vlastita usluga opisu u richtlinjiju, a ako da, u koju kategoriju.
Tko isporučuje samo softver, gradi web-stranicu ili povremeno izvršava IT-projekte bez kontinuiranog upravljanja, obično pada izvan tog specifičnog opisa — premda ostaje pitanje točnog razgraničenja za vlastitu situaciju, a ne opće pravilo. Ako ste nesigurni koji opis vrijedi za vašu uslužnu djelatnost, to je jedan od točaka gdje u nekoliko pitanja daje prvi uvid s referencom na točnu lokaciju u richtlinjiji.
Veličina ima jednak značaj kao sektor
Sektor sam nije dovoljan da biste bili kritični ili važni. NIS2 koristi kriterije veličine koji se podudaraju sa standardnom klasifikacijom za srednje velike i velike poslovne subjekte: broj zaposlenih i prihod ili ukupna vrijednost bilance igraju ulogu pri određivanju kategorije. Jednomanjžik koji nudi upravljanje mrežom malobrojnoj skupini lokalnih tvrtki obično je u drugoj kategoriji po veličini nego nacionalni IT-davatelj usluga sa stotinama zaposlenih, premda oba u biti nude istu uslugu.
Nacionalni zakoni koji transponiraju direktivu — u Nizozemskoj Zakon o kibernetskoj sigurnosti — dalje razrađuju te kriterije, a nadzorni organ objavljuje pri tome praktične upute. Pratimo te izvore s datumom kada smo ih vidjeli, kako biste mogli provjeriti kada se procjena temelji na tome.
Upravljanje na daljinu i pristup sustavima klijenta: položaj u lancu
Upravo kod ICT-uslužnog poslovanja pozicija u dobavnom lancu često je presudna točka, neovisno o sektoru i veličini. Upravljanje na daljinu, pristup mrežama klijenta, upravljanje lozinkama ili održavanje aplikacije koja je kritična za klijenta — to su upravo karakteristike koje klijent procjenjuje kad ocjenjuje svoje dobavljače. Naime, entitet od bitnog ili važnog značaja mora moći dokazati da su rizici u dobavnom lancu mapping, a dobavljač s pristupom sustavima stoji visoko na toj listi, bez obzira je li taj dobavljač sam na sektorskoj listi.
To objašnjava zašto mnogi ICT-uslužni davatelji, iako sami nisu obveznici, ipak dobivaju popis sigurnosnih pitanja ili ugovorni zahtjev. To nije pravna obveza koja se na njih direktno odnosi, već praktični zahtjev koji dolazi putem klijenta — i koji sigurno može utjecati na ugovor.
Podizvodači: lanac se ne zaustavlja na vama
Oni koji sami rade s podizvodačima — slobodni sustavni administrator, strana koja pruža hosting, vanjska tehnička podrška — u praksi prosleđuju to pitanje dalje. Ako vam klijent želi znati kako je pristup sustavima reguliran, velika je vjerojatnost da isto pitanje postavljate svojim vlastitim podizvodačima. Na taj način procjena dobavnog lanca protiče kroz više članova, čak i ako nitko u tom lancu sam ne spada pod sektorsku listu.
Što to znači za vašu datoteku
Jesu li sami obveznici, dosegnuti samo preko lanca, ili nijedno od toga, određuje kako će izgledati vaša priprema: potpuna datoteka obveza pažnje, ciljani odgovori na popis pitanja od klijenta, ili za sada nikakva akcija. Pregled deset mjera koje vam obveza pažnje očekuje, i kako se odnosaju prema onome što klijent pitanja u popisu, nalazite se u objašnjenju po temi. Za pitanje kako secria.eu drži izvore i na čemu se temelji naznaka, je radni proces dobar početak, a često postavljana pitanja o dosegu zakona prikupljena su u pregledu s pitanjima i odgovorima.
Počnite s nis2-provjerom da vidite padaju li vaše usluge pod sektorsku listu, koja veličina ima značaja i što vam vaša pozicija u lancu znači — besplatno i bez računa.