cosa succede se non rispetto gli obblighi della direttiva NIS2

Controllo, correzione e infine una sanzione

Nel caso di mancato rispetto degli obblighi NIS2, nella pratica il procedimento inizia con un controllo e la possibilità di rimediare, per passare solo successivamente — se ciò non avviene — a una sanzione da parte dell'autorità di controllo. La Legge sulla sicurezza informatica, il recepimento olandese della NIS2, fornisce all'autorità di controllo gli strumenti per verificare se un'organizzazione rispetta l'obbligo di adottare misure di gestione dei rischi e l'obbligo di notifica. L'autorità di controllo specifica varia a seconda del settore; questo è descritto nella pagina relativa a quale autorità di controllo supervisiona il mio settore secondo la direttiva NIS2. In caso di carenze, l'autorità di controllo può impartire istruzioni, imporre direttive vincolanti o, in una fase successiva, procedere all'esecuzione.

Le conseguenze concrete dipendono da ciò che va storto: l'assenza delle dieci misure obbligatorie previste dall'obbligo di adottare misure di gestione dei rischi, una notifica tardiva o mancante, o una catena di fornitori non valutata. Per l'obbligo di notifica, esistono presupposti specifici che richiedono la segnalazione; questo è illustrato nella pagina relativa a quando devo segnalare un incidente di cybersecurity all'autorità di controllo. Per l'obbligo di adottare misure di gestione dei rischi, si tratta di una serie di misure che devono essere nel complesso ordinate, descritte nella pagina relativa a quali dieci misure devo implementare secondo la direttiva NIS2. Esiste inoltre una questione separata su se la dirigenza possa essere chiamata personalmente a rispondere di una violazione, che viene affrontata separatamente nella pagina relativa a responsabilità personale dei dirigenti in caso di violazione della NIS2.

Fondamento nella direttiva e nella legge nazionale

Gli obblighi sottoposti a controllo derivano dall'articolo 21 della direttiva NIS2, che stabilisce l'obbligo di adottare misure di gestione dei rischi con le dieci misure, e dall'obbligo di notifica che ne è distinto; la Legge sulla sicurezza informatica recepisce questi obblighi nel diritto olandese e disciplina anche i poteri dell'autorità di controllo. Le specifiche modalità di controllo e le sanzioni derivano da quella legge nazionale e dalle pubblicazioni delle stesse autorità di controllo, incluso l'NCSC.