Trumpas atsakymas
Dalis ICT paslaugų teikimo tiksliai nurodyta NIS2 sektoriaus sąraše ir todėl gali būti svarbūs ar kritiškai svarbūs subjektai. Tai apima valdomųjų paslaugų tiekėjus, valdomųjų saugumo paslaugų tiekėjus, debesų kompiuterijos paslaugų tiekėjus ir duomenų centrus. Tačiau dauguma ICT paslaugų teikėjų — vietos tinklo administratorius, nuotolinio serverio priežiūros įmonė, verslo programos tiekėjas — nepatenkti tiesiogiai sektoriaus sąraše. Jie dažnai yra paveikti tik dėl to, kad tai reikalavimas jų klientui: kritiškai svarbus ar svarbus subjektas turi įvertinti, kaip saugios jo tiekėjų paslaugos, o ICT paslaugų teikėjas, turintis prieigą prie sistemų, yra akivaizdžiai šiam vertinimui reikalinga šalis.
Tai, ar sami esate tiesiogiai atsakingi arba nepasaulyje pasiekiami per tiekimo grandinę, priklauso nuo trijų veiksnių: ar jūsų paslaugų tipas yra sektoriaus sąraše, ar jūsų organizacija atitinka reikiamą dydį ir kokia yra jūsų faktinė vaidmuo klientų, kurie patys yra tiesiogiai atsakingi. Šie trys veiksniai kartu nulemia atsakymą ir veikia atskirai — jūs galite atitikti dydžio reikalavimus neturėdami tinkamos sektoriaus, arba būti tiksliai tinkamoje sektoriuje neturint reikiamo dydžio.
Ką sektoriaus sąrašas sako apie ICT paslaugų teikimą
NIS2 direktyva skirtingas sektoriaus kategorijas išskiria pagal kritikalumo lygį: ypač kritiniai sektoriai ir likę kritiniai sektoriai. Skaitmeninės infrastruktūros ir skaitmeninių paslaugų teikimo srityje konkrečiai paminėti valdomųjų paslaugų teikėjai ir valdomųjų saugumo paslaugų teikėjai, taip pat debesų kompiuterijos paslaugos, duomenų centrai ir internetinės prekyvietės bei paieškos variklių teikėjai. Kas patenka į vieną iš šių kategorijų, turi atitikti tuos pačius kriterijus kaip bet kuris kitas sektorius: ar jūsų paslauga atitinka direktyvoje pateiktą aprašymą ir jei taip, kurioje kategorijoje.
Kas tik programinę įrangą pateikia, svetainę kuria ar retkarčiais IT projektus vykdo be nuolatinio administravimo, paprastai nepatenka į šį konkrečią aprašymą — nors tikslus ribojimas priklauso nuo konkrečios situacijos, o ne nuo bendros taisyklės. Jei abejojate, kuri aprašymo versija taikytina jūsų paslaugų teikimui, tai yra vienas iš klausimų, kurio atžvilgiu per kelis klausimus gaunamas pirminis rodiklis su nuoroda į tikslią vietą direktyvoje.
Dydis yra toks pat svarbus kaip sektorius
Vien sektoriaus nepakanka, kad būtumėte kritiškai svarbus ar svarbus subjektas. NIS2 naudoja dydžio kriterijus, kurie atitinka vidurinių ir didelių įmonių standartinę klasifikaciją: darbuotojų skaičius ir apyvarta arba balanso suma naudojami kategorijai nustatyti. Vienmandal tinklo administravimo paslaugas teikianti įmonė, kuri paslaugas teikia keliem vietiniams verslo subjektams, pagal dydį paprastai patenka į kitą kategoriją nei šalies mastu IT paslaugas teikianti įmonė su šimtais darbuotojų, nors abi iš esmės teikia tą pačią paslaugą.
Nacionaliniai įstatymai, kuriuose direktyva buvo perkeltas — Nyderlanduose tai Kibernetinio saugumo įstatymas — toliau detalizuoja šiuos kriterijus, o priežiūros institucija paskelbė prie to praktinę aiškinamąją nuorodą. Mes sekame šiuos šaltinius su data, kada juos pamatėme, todėl galite paklausti, kada rodiklis buvo remiantis.
Nuotolinis administravimas ir prieiga prie kliento sistemų: vaidmuo tiekimo grandinėje
Būtent ICT paslaugų teikėjams grandinės padėtis dažnai yra lemiamas veiksnys, nepriklausomai nuo sektoriaus ir dydžio. Nuotolinė administracija, prieiga prie kliento tinklų, slaptažodžio valdymas arba programos, kuri yra kritinė klientui, priežiūra — tai yra tiksliai tie požymiai, kuriuos klienatas įvertina sprendžiant apie savo tiekėjus. Tiesioginė arba esminė subjektas turi sugebėti parodyti, kad tiekimo grandinės rizikos yra identifikuotos, o tiekėjas, turintis prieigą prie sistemų, aukštai stovi šiame sąraše, nepriklausomai nuo to, ar tas tiekėjas pats figure sektoriaus sąraše.
Tai paaiškina, kodėl daug ICT paslaugų teikėjų, nepaklusdami patys reguliavimui, vis tiek gauna saugos klausimyną arba sutarties reikalavimą. Tai nėra tiesioginė jų atžvilgiu nukreipta teisinė pareiga, bet praktinis reikalavimas, kuris ateina per klientą — ir kuris iš tikrųjų gali paveikti sutartį.
Subrangos įmonės: grandinė nesustoja pas jus
Jei savo ruožtu dirbate su subrangos įmonėmis — laisvai samdomas sistemų administratorius, hostingo paslaugų teikėjas, išorinė pagalba naudotojams — iš esmės perduodate šį klausimą toliau. Jei jūsų klientas nori žinoti, kaip sutvarkyta prieiga prie sistemų, yra tikėtina, kad jūs savo subrangos įmonėms užduosite tą patį klausimą. Taip grandinės vertinimas einant per kelias grandis, netgi jei niekas toje grandinėje pats nefigurUja sektoriaus sąraše.
Ką tai reiškia jūsų failams
Nesvarbu, ar pats paklūstate reguliavimui, ar tik per grandinę esate daryti poveikio objektu, ar jūs iš viso šios situacijos nelietę, tai nulemia, kaip jūsų paruošimas atrodo: visas pareigos dėl apsaugos failas, tiksliniai atsakymai į kliento klausimynus, arba šiuo metu jokia veikla. Dešimties priemonių, kurias jūs laukiate iš pareigos dėl apsaugos, ir kaip jos susijusios su tuo, ką klientas klausia klausimyne, apžvalgą rasite paaiškinimas pagal temą. Dėl klausimo, kaip secria.eu šaltinius palaiko ir kur nuindikuota konkreti pozicija, geras pradžios taškas yra darbų procedūra o dažnai keliami klausimai apie įstatymo taikymo sritį yra surinkti klausimų ir atsakymų apžvalgoje.
Pradėkite su nis2-tikrintu, kad pamatysite, ar jūsų paslaugos yra sektoriaus sąraše, kokį dydį reikia atsižvelgti ir ką jūsų padėtis grandinėje reiškia jums — nemokamai ir be paskyros.