személyesen felelőssé válhat az igazgatóság a NIS2 megsértéséért

Igen, az alapvető entitásoknál a vezetés személyesen felelőssé tehető

Az alapvető entitások esetében a NIS2-irányelv 21. cikk (2) bekezdése lehetőséget biztosít arra, hogy a vezetők személyesen felelősek legyenek szervezetük kiberbiztonsági intézkedéseinek jóváhagyásáért és felügyeletéért. Ez nem mellékszerep az irányelvben: a vezetésnek ismernie, jóváhagynia kell a kockázatkezelési intézkedéseket, és aktívan felügyelnie kell azokat, nem csupán egy politikai dokumentum alá aláírást helyezni. Ennek pontos megvalósulása — mely vezetők, milyen feltételek mellett és milyen következményekkel — a nemzeti implementációban, Hollandiában a Kiberbiztonság törvényben kerül meghatározásra.

Ez közvetlenül érinti a kérdést mi történik, ha egy szervezet nem teljesíti a NIS2-kötelezettségeket: az szervezetet egészében érintő intézkedések mellett az irányelv ezzel a rendelkezéssel kifejezetten a vezetőre mint természetes személyre irányul. Ez eltérés más compliance-kötelezettségek többségétől, ahol általában a jogi személy a felelős fél, és a vezetés távolról marad. Ennek a felelősségnek a konkrét megvalósulásához segít tudni, mely tíz intézkedést kell megtenni a NIS2 szerint — mivel a jóváhagyás és felügyelet feltételezik, hogy a vezetés tudja, miről van szó, nem csupán azt, hogy valami jóváhagyásra került.

Ennek alapja: a 21. cikk és a nemzeti törvény

Az alapot a (EU) 2022/2555 irányelv 21. cikk (2) bekezdése képezi, amely lehetőséget ad a tagállamoknak arra, hogy az alapvető és fontos entitások igazgatási tagjait a gondossági kötelezettség megsértéseiért felelősségre vonjanak. A pontos megvalósulás — kire vonatkozik, milyen körülmények között és milyen következményekkel — a nemzeti jogalkotó feladata; Hollandiában ez a Kiberbiztonság törvény, és az NCSC tájékoztatást ad arról, hogy a gondossági kötelezettség és a bejelentési kötelezettség a gyakorlatban hogyan valósul meg. A rendelkezés pontos szövegezéséhez és a holland implementáció státuszához a hivatalos szöveg az irányadó.