Valahol olvasta, hogy a NIS2-ös bírságok akár tíz millió euróra vagy a forgalom két százalékára rúghatnak, és azt kérdezi, hogy ez megtörténhet-e Önnel. A rövid válasz: ezek az összegek valóban szerepelnek az irányelvben, de az irányelvben foglalt kötelezettségek alá tartozó szervezetekre — szervezetekre vonatkoznak, amelyeknek cyberbiztonsági kockázatkezelési intézkedéseket, nyilvántartási és bejelentési kötelezettségeik vannak. Ha vállalkozása nem tartozik ezek közé, de olyan szervezetnek szállít, amely igen, akkor a bírság nem az a kockázat, amely miatt éjszaka fel kellene éberednie.
A kockázat, amely valóban érinti Önt, gyakorlatiasabb és gyorsabban megjelenik: egy olyan megrendelő, aki maga a kötelezettség alá tartozik, értékelnie kell a beszállítóit. Ha nem tudja megválaszolni a kérdéseket vagy nem tudja igazolni a szerződéses követelményeket, az eredmény általában nem bírság, hanem a szerződés elvesztése. Ez az eljárás általában hetekig tart, nem évekig.
Akik számára a bírság valóban szól
Az irányelvben az irányelvben foglalt kötelezettségek alá tartozó szervezetekre összpontosít a hozzáadást: a bijlage I és II szektorokból származó szervezetekre. Számukra a nemzeti törvény — Hollandiában a Cyberbeveiligingswet — határozza meg, hogy a felügyeleti hatóság hogyan lép fel, ha a cyberbiztonsági kockázatkezelési vagy bejelentési kötelezettség nem teljesül. Ha maga nem tartozik a hatálya alá, de olyan szervezethez szállít, amely igen, akkor nem része az adott végrehajtási eljárásnak. Az irányelvt érzékeli, de a megrendelője szerződéses követelményein keresztül, nem egy saját nevére szóló bírságértesítés révén. Ha bizonytalan abban, hogy szervezete maga az irányelvben foglalt kötelezettségek alá tartozik-e, akkor ezt néhány kérdéssel tisztázhatja a segítségével az ellenőrzés, amely néhány lépésben felvázzolja a helyzetet.
Mit nevez meg az irányelvben összegeket illetően
Az irányelvben az irányelvben foglalt kötelezettségek alá tartozó szervezetekre vonatkozó maximális összegeket sorol fel, magasabb felső határral az irányelvben foglalt kötelezettségek alá tartozó szervezetekre, mint az irányelvben foglalt kötelezettségek alá tartozó szervezetekre. Mindig a legmagasabb a rögzített összegből vagy a globális éves forgalom százalékából — tehát nem automatikusan a teljes összeg minden megsértésnél. Azt, hogy a felügyeleti hatóság egy konkrét esetben hogyan mérlegel, és milyen összegeket írnak elő ténylegesen, az irányelvben nem rögzítik, és az illetékes felügyeleti hatóság hatáskörébe tartozik. Tudatosan nem teszünk előrejelzést ebben; az irányelvben és a nemzeti törvényben pontosan mit mondanak, a hivatalos szövegből és a felügyeleti hatóság közleménye alapján olvashatók el.
Miért jön a szerződés a bírság előtt
A bírság-eljárás általában csak jelekhek után kezdődik meg, amelyeket vizsgálnak és lehetőség van a helyreállításra — ez időt vesz igénybe. Egy beszerzési osztály, amely egy biztonsági kérdéslistavet küld, nem vár ezután. Ha a válasz hiányzik vagy hiányos, a megrendelést gyakran egyszerűen egy másik beszállítónak adják, vagy Ön kap egy helyreállítási határidőt, amelyet meg kell töltenie. Ez azt jelenti, hogy a beszállítóval folytatott beszélgetés a legtöbb kkv-számára sürgősebb, mint az a kérdés, hogy valaha is nagyobb összegtől kell-e tartania. Bővebbet arról, hogy pontosan mi rejlik egy ilyen kérdéssor mögött, olvashat a az olyan tárgyak áttekintésében, amelyek helyzetről helyzetre vannak feldolgozva.
Mit jelent ez, ha a torozódott szállítói lánc által érintett
Ha maga nem tartozik az irányelvben foglalt kötelezettségek alá, de egy irányelvben foglalt kötelezettségek alá tartozó szervezet beszállítója, akkor a kérdés nem az, hogy bírság-e fenyeget, hanem az, hogy be tudja-e bizonyítani, hogy a kért intézkedések rendben vannak. Ez a dokumentumokról, egy tulajdonosról intézkedésenként és egy válaszról szól, amelyet nem kell minden egyes alkalommal újraírnia. Aki ezt egyszer rögzítette, a következő kérdéslistát sokkal kevesebb munka mellett válaszolja meg. Gyakran feltett kérdések arról, hogy mit lehet és mit nem szabad Öntől kérni, összegyűjtve vannak a a gyakran feltett kérdésekről szóló oldalon.
Ha maga lényeges vagy jelentős, akkor a bírság az utolsó kötél a hátsó ajtó mögött száll, de maga a cyberbiztonsági kockázatkezelési kötelezettség a tényleges munka: intézkedéseket tenni, dokumentálni és tudni mutatni. Az, hogy ez a folyamat hogyan épül fel és honnan származnak az információk ezen a webhelyen, megmagyarázódott a az oldal, amely elmagyarázza, hogyan működik a platform.
Szeretné tudni, hogy szervezete maga az irányelvben foglalt kötelezettségek alá tartozik-e, vagy csak egy megrendelő révén érinti? Végezze el a ingyenes NIS2-ellenőrzést, vagy olvassa el figyelmesen előbb a tudásbázist — mindkettő fiók nélkül elérhető.