mi a különbség az alapvető és a fontos entitás között

Szigorúbb felügyelet az alapvető szolgáltatásoknál, enyhébb a fontosakban

A különbség nem magában az előírásokban van, hanem azok felügyeletében. Az alapvető és fontos entitások ugyanolyan gondozási kötelezettséget, ugyanolyan regisztrációs kötelezettséget és ugyanolyan bejelentési kötelezettséget kapnak incidensi esetén. A megkülönböztetés abból a szektorból adódik, amelyben a szervezet működik, és az adott szervezet méretéből — ezek együttesen határozzák meg, hogy egy szervezetet alapvetőnek vagy fontosnak minősítenek-e. Az alapvető entitások általában olyan szektorokból származnak, amelyeket sérülékenyebbnek vagy társadalmilag kritikusabbnak tekintik, például energia, ivóvíz vagy digitális infrastruktúra, és gyakran az adott szektorok nagyobb szervezetei. A fontos entitások olyan szektorokban találhatók, amelyeket valamivel kevésbé súlyosnak sorolnak, vagy egy súlyosabb szektoron belül kisebb szervezetek.

A gyakorlati következmény főként a felügyeletben jelenik meg: az alapvető entitások aktív, folyamatos felügyelettel szembesülhetnek, míg a fontos entitások esetében a felügyelet inkább reaktív módon kerül alkalmazásra — tehát egy bejelentés vagy jelzés után, hogy valami nincs rendben. Egy olyan vállalkozó számára, aki kíváncsi arra, hogy saját szervezete melyik kategóriába tartozik, elsősorban azt kell tisztázni, hogy egyáltalán a törvény hatálya alá tartozik-e; aki ezt még nem tudja, kezdheti azzal, hogy hogyan tudom meg, hogy a vállalkozásom a NIS2 hatálya alá tartozik-e. A szektornak, amelyben egy szervezet működik, ebben az egyik legfontosabb szereppel van, és ezek a szektorok felsorolva vannak az oldalon mely szektorok tartoznak a NIS2 irányelv hatálya alá.

Honnan ered ez a megkülönböztetés

Az alapvető és fontos közötti megkülönböztetés a NIS2-irányelv ágazati besorolásából és méretezési kritériumaiból adódik, és Hollandiában a Cyberbeveiligingswet, az irányelv nemzeti átültetése alapján kerül továbbfejlesztésre. Az mindkét kategóriára vonatkozó gondozási kötelezettség az irányelv 21. cikkének 2. bekezdésében van rögzítve, az abból következő tíz intézkedéssel. Az NCSC tájékoztatást ad arról, hogyan működik a gyakorlatban az gondozási kötelezettség és a bejelentési kötelezettség.