Érinti az én vállalkozásomat a NIS2?
Hogy az Ön vállalkozása maga alá esik-e a NIS2 irányelvnek, az két dologtól függ: az ágazattól, amelyben működik, és szervezete méretétől. Az irányelv két mellékletben nevesít olyan ágazatokat, amelyeket a társadalom vagy a gazdaság szempontjából fontosnak tart – az energiától és a szállításoktól a digitális infrastruktúráig és a szennyvízkezelésig. Ha vállalkozása ilyen ágazatba tartozik, ÉS az irányelv által használt méretkategóriákba, akkor feltehetően maga is egy kritikus vagy fontos entitás, az ezzel járó összes kötelezettséggel.
De a válasz nem ér véget ott. Sokkal több vállalkozás esik kívül az ágazat és a méret szerint, de a követelményeknek így is megfelel: mint szállító, telepítő vagy szolgáltató a plichtig kötelezett vállalkozás felé. A plichtig kötelezett szervezeteknek ugyanis értékelniük kell saját ellátási láncukat, és ez kérdőívek és szerződési feltételek formájában fordul át olyan vállalkozásokra, amelyeknek maguknak soha nem kell egy felügyeleti hatóságnál regisztrálniuk.
Ágazat: I. és II. melléklet
Az irányelv két mellékletben sorolja fel az ágazatokat. Az I. melléklet a kritikusnak minősülő ágazatokat nevesíti: többek között energia, szállítás, bankszektor, ivóvízellátás, digitális infrastruktúra és közigazgatás. A II. melléklet a fontosnak minősülő ágazatokat sorolja fel, például postai és futárszolgáltatások, hulladékkezelés, vegyipar, élelmiszeripari ágazat és bizonyos digitális szolgáltatások. Egy telepítési vállalkozás, egy informatikai szolgáltató vagy egy tanácsadási iroda általában névről nem szerepel ezekben a mellékletekben, de a leírások szélesebbek, mint ahogy a megnevezés sugallja. Aki kétséges, hogy tevékenysége ezek közül valamelyik ágazat alá esik-e, jól teszi, ha a hivatalos szövegben maga elolvassa a leírást, nem csak az ágazat nevét.
Méret: mikor számít be a vállalkozása
Az ágazat mellett az irányelv a szervezet méretét is figyelembe veszi, amely az EU szokásos besorolása szerint a személyzet száma és az éves nettó árbevétel vagy mérlegfőösszeg alapján kis-, közép- és nagyvállalkozásokra oszlik. A legtöbb ágazat esetében igaz: minél nagyobb a vállalkozás, annál hamarabb esik a hatálya alá. Vannak kivételek is, ahol a méret kevésbé számít, például amikor egy szervezet az egyetlen szolgáltató az országban egy adott szolgáltatásra. Ezek a kivételek az irányelvben és a rá alapozott nemzeti jogszabályban pontosan vannak leírva; az Ön konkrét helyzetének pontos megállapítása az Önnek, a jogi tanácsadónak vagy a felügyeleti hatóságnak a feladata.
A legnagyobb csoport kívül esik, és a követelményeknek így is megfelel
Az irányelv legtöbb figyelmet keltő része a gondossági követelmény: a plichtig kötelezett szervezeteknek megfelelő intézkedéseket kell hozniuk, és ehhez szállítóikat is értékelniük kell. Pontosan erre a legnagyobb vállalkozáscsoport kénytelen reagálni. Egy olyan telepítési vállalkozás, amely energiavállalat épületirányítási rendszereit karbantartja, egy kórháznak dolgozó takarítócég, vagy egy önkormányzat informatikai partnere: egyikük sem köteles maga regisztrálni, de mindegyikük kaphat kérdőívet. A gyakorlatban ezt gyakran úgy nevezik, hogy 'ellátási lánc által érintett': nem esik maga az irányelv alá, de olyan ügyfele, aki ezt teszi, mégis azt kéri Önnek, hogy bizonyítsa, biztonsági intézkedései rendben vannak.
Hogy ez az Ön vállalkozására vonatkozik-e, attól függ, hogy kik az Ön ügyfelei, és mennyire kritikus számukra az Ön szolgáltatása. Ez nehéz megítélni az ágazat, a méret és a ketenról információ egyszerre való megtekintése nélkül. Néhány kérdésben látja, hogy vállalkozása körülbelül hol helyezkedik el, magyarázattal, hogy miért, és javaslattal a további lépésre.
Pénzügyi intézmények: különálló szabályozás
Bankok, biztosítók és más pénzügyi intézmények nem a NIS2 alá, hanem a digitális működési rugalmasságra vonatkozó külön verordelet alá tartoznak, amely kifejezetten a pénzügyi szektort célozza. Aki ebben az ágazatban működik, ezt általában már az ágazatra vonatkozó első belépési kérdésnél felismeri.
Mi a teendő, ha a válasz nem egyértelmű
Az ágazat és a méret együtt jó első jelzést ad, de a 'kritikus', 'fontos', 'ellátási lánc által érintett' és 'nem érintett' közötti pontos határ megállapítása egyedi mérlegelést igényel. Tudásbázis az összes témakörrel helyzeteink szerint fogalom-magyarázatot ad, és hivatkozik a hivatalos szövegben való előfordulásra. Ha olvasása után még kétségei vannak, egy jogász vagy az ön országában működő felügyeleti hatóság a megfelelő fél, hogy az ön konkrét helyzetét értékelje; a secria.eu tudatosan nem nyilvánít állást erről.
Előbb szeretné tudni, hogy ezen a platformon lévő információ honnan származik és hogyan marad naprakész? Itt olvasható, hogyan tartjuk nyilván a forrásokat. Gyakorlati kérdéseire a platform használatáról a válasz megtalálható itt: a gyakran ismételt kérdések áttekintése.
A rövid válasz arra, hogy "az én vállalatom NIS2 hatálya alá tartozik-e", ezért a szektor, a méret és a szállítási lánc szerepének egymás mellé helyezésével kapható meg. Végezze el az ingyenes ellenőrzést, és olvassa el a tudásbázist; ezek már fiók nélkül is egy kezdeti, indokolt képet adnak arról, hogy vállalatának hol a helye.