Regisztráció a felügyeleti hatóságnál: hogyan működik?
Aki az NIS2-irányelv alapján kritikus vagy fontos entitásnak minősül, köteles magát a nemzeti felügyeleti hatóságnál regisztrálni. Ez a felügyeleti hatóság által erre a célra létrehozott portálon keresztül történik, amely tartalmazza szervezetére, kapcsolattartóira és az általa nyújtott szolgáltatásokra vonatkozó adatokat. Nincs olyan levél, amely emlékeztetné Önt erre: a regisztrációs kötelezettség magát a szervezetet terheli, nem pedig a felügyeleti hatóságot abban, hogy felkutassa Önt.
Ez utóbbi pont sok vezetőt meglepet. Más kötelezettségeknél — például egy engedélynél vagy egy éves bevallási kötelezettségnél — gyakran magát az intézmény küld egy jelzést. A Kibervédelmi törvény szerinti regisztrációs kötelezettség esetében fordított a helyzet: a felügyeleti hatóság kezdetben nem tudja, mely szervezetek tartoznak a törvény hatálya alá, ezért saját értékelésétől és intézkedésétől függ.
Mely adatokat kell megadni
A regisztráció általában a szervezet azonosító adatait kéri, például a nevet, a kereskedelmi lajstrom számát és a címet, kiegészítve azzal a szektorral és tevékenységgel, amely alapján a törvény hatálya alá tartozik. Továbbá egy vagy több olyan kapcsolattartó adatait kell megadni, aki elérhetővé válik a felügyeleti hatóság számára, név, telefonszám és e-mail cím formájában — ezek gyakran nem ugyanazok az emberek, mint a szokásos üzleti kapcsolattartók, mivel egy incidens esetén való elérhetőségről van szó. Az incidenskezeléshez és biztonsághoz kapcsolódó hálózati és információs rendszerek vagy szolgáltatások, valamint néha azok a tagállamok, ahol szolgáltatásokat nyújt, szintén részét képezik a képnek, amelyet a felügyeleti hatóság szeretne megkapni.
A pontos mezők és az űrlap szerkezete országonként különböznek, mivel minden tagállam az irányelvet saját nemzeti jogszabályokba ülteti át, és maga a felügyeleti hatóság hozza létre a portált. Amit Hollandiában kérnek, nem szükséges, hogy azonos legyen azzal, amit egy felügyeleti hatóság egy másik országban kér egy ott működő leányvállalatktól.
Miért nincs levél
A regisztrációs kötelezettség úgy van felépítve, hogy a szervezetet terhelő kötelezettség, nem pedig az állam által kibocsátott meghívás. A felügyeleti hatóság a törvény kezdetekor nem rendelkezik teljes listával arról, hogy ki hol működik, és mely küszöb alá esik — ezt az információt magából a szektorból kell származtatni. Ez hasonló ahhoz, ahogy egy kereskedelmi lajstrom-bejegyzés vagy egy áfabevallás működik: a felelősség a határidőre történő cselekvésre az általános vállalkozót terheli, még akkor is, ha senki nem küld emlékeztetőt.
Sok olyan kkv-cég számára, amely a láncon keresztül érintett, ez amúgy sem jelent feladatot: csak a kritikus és fontos entitások maguk rendelkeznek regisztrációs kötelezettséggel. Azok a vállalatok, amelyek csak egy olyan megrendelőtől kapnak biztonsági kérdéslistát, aki maga tartozik a törvény hatálya alá, nem regisztrálnak magukat a felügyeleti hatóságnál. Az, hogy szervezete az első vagy a második csoportba tartozik-e, nem mindig világos azonnal; néhány kérdésben láthatóan megmutatja, hol áll a szervezete ennek megtárgyalásával nyújt rá első iránymutatást, kitöltés után magyarázattal az egyes eredményekhez.
Mikor kell regisztrálni
A nemzeti törvény meghatározza, hogy milyen határidőn belül és mettől kezdve kell regisztrálnia egy szervezetnek magát, miután kritikus vagy fontos entitásnak minősült. Ezek a határidők az irányelv nemzeti átültetésében és a felügyeleti hatóság saját honlapján találhatóak, és változhatnak, ahogy a jogszabályok továbbfejlődnek. Az aktuális helyzethez a felügyeleti hatósággal vagy jogtanácsossal kell konzultálni, nem egy általános cikk alapján — a felügyeleti hatóság webhelyének módosítása vagy közleménye ezen a ponton irányadó, nem pedig egy valahol tárolt dátum.
Mit tesz és mit nem tesz a secria.eu regisztrációnál
A platform segít előkészíteni a szöveget és az adatokat, amelyekre szüksége van a regisztrációs nyomtatvány kitöltéséhez: mely kapcsolattartókat kell megadnia, mely ágazati és tevékenységi leírás felel meg a felügyeleti hatóság kategorizálásának, és milyen indoklás áll a besorolás mögött. Amit kifejezetten nem tesz meg, az az, hogy az Ön nevében benyújtson. Önmagának kell beküldenie az Ön felügyeleti hatóságának a portáljára; a secria.eu előkészíti a szöveget, Ön helyezi el. Az előkészítés pontos módja és az ehhez használt forrásokat a az információ keletkezéséről szóló oldalon.
Bizonytalanság az Ön saját helyzetével kapcsolatban
Az Ön szervezetének regisztrációja függetlenül attól, hogy releváns-e, attól függ, hogy mely ágazatban működik, szervezete méretétől és az Ön alkalmazandó nemzeti törvénytől. Ez nem olyan kérdés, amelyre egy általános cikk válaszolhat az Ön konkrét helyzetére; ehhez a kompetens felügyeleti hatóság vagy egy jogász az megfelelő kapcsolattartó. A regisztrációval, bejelentési kötelezettséggel és szállítók szerepével kapcsolatos gyakori praktikus kérdéseket az alábbiak alatt foglalták össze: a gyakran feltett kérdésekről szóló oldalon.
Szeretne először áttekintést kapni a NIS2-irányelv és a Kibervédelmi törvény körül lévő összes témáról, az ágazatok felosztásától a tíz gondozási intézkedésig? Ezek az Ön helyzete szerint kiválogatva az alábbiakon találhatók: az összes témát tartalmazó áttekintő oldalon. És ha még nem tudja, hogy az Ön számára releváns-e a regisztráció, a ingyenes gyors szkenelés a leggyorsabb első lépés a tisztánlátáshoz.