A rövid válasz
Az ICT-szolgáltatás egy része név szerint szerepel a NIS2-szektorlistán, és így maga is elengedhetetlen vagy fontos lehet. Gondoljunk az irányított szolgáltatások nyújtóira, az irányított biztonsági szolgáltatások nyújtóira, a felhőszolgáltatókra és az adatközpontokra. De a legtöbb ICT-szolgáltató — a helyi hálózati rendszergazda, az akinek a kiszolgálókat távolról karbantartja, az üzleti alkalmazás szállítója — nem tartozik maga a szektorlistára. Gyakran ugyan érinti őket, és azért, mert az ügyfelüknek erre törvényi kötelezettsége: az elengedhetetlen vagy fontos entitásnak ugyanis értékelnie kell, mennyire biztonságosak szállítói, és az ICT-szolgáltató, amely hozzáféréssel rendelkezik a rendszerekhez, az értékeléshez nyilvánvaló szempont.
Hogy Ön maga van-e kötelezve, vagy a láncon keresztül érinti-e őt, attól függ, hogy három tényező együtt működik-e: szerepel-e a szolgáltatás típusa a szektorlistán, éri-e el szervezete a szükséges méretet, és mi az Ön tényleges szerepe azoknál az ügyfeleknél, akik maguk kötelezettség alatt állnak. Ez a három tényező együttesen határozza meg a választ, és egymástól függetlenül működnek — elérheti a méretet anélkül, hogy a megfelelő szektorban ülne, vagy pontosan a szektorban ülhet úgy, hogy nem éri el a méretet.
Mit mond a szektorlista az ICT-szolgáltatásról
A NIS2-irányelv megkülönbözteti a magas kritikalitási szectorokat és az egyéb kritikus szectorokat. A digitális infrastruktúra és a digitális szolgáltatásokon belül többek között az irányított szolgáltatások nyújtói (managed service providers) és az irányított biztonsági szolgáltatások nyújtói (managed security service providers) szerepelnek név szerint, valamint a felhőszámítási szolgáltatások, az adatközpontok és az online piacterek és keresőmotorok nyújtói. Aki ezek közül bármelyikbe tartozik, ugyanazon teszten megy keresztül, mint bármely más szektor: megfelel-e saját szolgáltatása az irányelvben szereplő leírásnak, és ha igen, mely kategóriába tartozik.
Aki tisztán szoftvert szállít, weboldalt épít vagy alkalmi informatikai projekteket végez folyamatos felügyelet nélkül, az általában kívül esik ezen a konkrét leíráson — habár a pontos körülhatárolás az egyedi helyzetre marad, nem pedig az általános szabályra. Ha kétségei vannak arról, hogy melyik leírás vonatkozik a szolgáltatására, az az egyik olyan pont, ahol néhány kérdés során egy első jelzés segít, hivatkozással az irányelv pontos helyére.
A méret ugyanolyan fontos, mint a szektor
Egy szektor önmagában nem elég ahhoz, hogy elengedhetetlen vagy fontos legyen. A NIS2 olyan méretbeli kritériumokkal működik, amelyek összhangban állnak a közepes és nagy vállalkozások standard osztályozásával: a munkavállalók száma és a forgalom vagy a mérleg összege befolyásolja a kategória meghatározását. Az egyéni vállalkozó, aki hálózati felügyeletet kínál egy maroknyi helyi vállalatnak, méretében általában más kategóriában van, mint egy országos informatikai szolgáltató több százas alkalmazotti létszámmal, még ha is lényegében ugyanazt a szolgáltatást kínálják.
Az irányelvet átültető nemzeti jogszabályok — Hollandiában a Cyberbeveiligingswet — ezeket a kritériumokat részletezik, és a felügyelő olyan praktikus tájékoztatást tesz közzé hozzájuk. Ezeket a forrásokat naprakészen tartjuk azzal a dátummal, amikor láttuk őket, így Ön rákérdezhet, mikor alapult egy jelzés rá.
Távoli felügyelet és hozzáférés az ügyfél rendszerehez: a lánc pozíciója
Az ICT-szolgáltatások nyújtása esetén a beszerzési lánc pozíciója gyakran a meghatározó pont, függetlenül az ágazattól és a mérettől. A távolról végzett felügyelet, a ügyfélhálózatokhoz való hozzáférés, a jelszókezelés vagy egy olyan alkalmazás karbantartása, amely az ügyfél számára kritikus — ezek pontosan azok a jellemzők, amelyeket az ügyfél mérlegelni szokott saját szállítóinak értékelésekor. Egy alapvető vagy fontos entitásnak ugyanis igazolnia kell, hogy a beszerzési láncban felmerülő kockázatok azonosíthatók, és egy rendszerekhez hozzáféréssel rendelkező szállító magas helyen szerepel ezen a listán, függetlenül attól, hogy az adott szállító szerepel-e az ágazati listában.
Ez megmagyarázza, miért kapnak sok ICT-szolgáltató kérdőívet vagy szerződéses feltételeket annak ellenére, hogy nem tartoznak a kötelezettség alá. Ez nem olyan jogi kötelezettség, amely közvetlenül rájuk hárul, hanem egy gyakorlati követelmény, amely az ügyfélen keresztül érkezik meg — és amely valóban érintheti a szerződést.
Alvállalkozók: a lánc nem áll meg önnél
Aki maga is alvállalkozókkal dolgozik — egy szabadúszó rendszergazda, egy hosztingszolgáltatást nyújtó cég, egy külső ügyfélszolgálat — a gyakorlatban ezt a kérdést továbbítja. Ha az ügyfél azt szeretné tudni, hogy hogyan van szabályozva a rendszerekhez való hozzáférés, akkor nagy a valószínűsége annak, hogy ugyanezt a kérdést a saját alvállalkozóinak is felteszi. Így a beszerzési lánc értékelése több szinten is mélyre hatol, még akkor is, ha a lánc senki sem tartozik a szektorlista alá.
Mit jelent ez az ön dossziéja számára
Függetlenül attól, hogy ön maga kötelezettség alá tartozik-e, csak a láncon keresztül érinti-e, vagy egyik sem, meghatározza, hogy az ön felkészülése hogyan néz ki: egy teljes gondossági kötelezettséggel kapcsolatos dosszi, az ügyfelek kérdőívein szereplő kérdésekre irányuló válaszok, vagy jelenleg nincs intézkedés. A tíz olyan intézkedés áttekintése, amelyeket a gondossági kötelezettség magában foglal, és hogy ezek hogyan viszonyulnak ahhoz, amit egy ügyfél egy kérdőívben kérdez, az alábbiak között található meg a témánként nyújtott magyarázat. Arról, hogy a secria.eu hogyan kezeli a forrásokat és milyen megjegyzés alapján történik egy feltevés, a az eljárás jó kiindulópontot nyújt, és a törvény hatályára vonatkozó gyakran feltett kérdések az alábbiak között gyűjtöttek össze a kérdések és válaszok áttekintése.
Kezdje a nis2-ellenőrzéssel, hogy megnézze, hogy szolgáltatása a szektorlistán szereplő-e, mekkora méret számít, és hogy a beszerzési láncban betöltött pozíciója mit jelent ön számára — ingyenes és fiók nélkül.