ar vadovybė gali būti asmeniškai atsakinga už nis2 pažeidimą

Taip, esminės kokybes subjektai gali būti tiesioginės atsakomybės subjektai

Esminės kokybes subjektams pagal NIS2 direktyvos 21 straipsnio 2 dalį yra numatytos galimybės, kad vadovai gali būti asmeniškai atsakingi už kibernetinio saugumo priemonių patvirtinimą ir priežiūrą jų organizacijoje. Tai nėra antraplanis klausimas direktyvoje: vadovybė turi žinoti rizikos valdymo priemones, jas patvirtinti ir aktyviai jų prižiūrėti, o ne tik pasirašyti politikos dokumentą. Kaip tai tiksliai įgyvendinama — kurie vadovai, kokiomis sąlygomis ir kokios pasekmės — nustatoma nacionaliniame įgyvendinime, Nyderlanduose Kibernetinio saugumo įstatyme.

Tai tiesiogiai liečia klausimą kas atsitiks, jei organizacija neatitiks NIS2 įpareigojimų: be priemonių, kurias gali imtis pati organizacija, direktyva šioje nuostatoje tiesiogiai nukreipta į vadovą kaip asmenį. Tai yra poslinkis, palyginti su daugeliu kitų atitikties įpareigojimų, kur teisinė asmenybė dažniausiai yra atsakomybės subjektas ir vadovybė lieka atstumtyje. Kad šią atsakomybę būtų lengviau suprasti, naudinga žinoti kurias dešimt priemonių reikia imtis pagal NIS2 — nes patvirtinimas ir priežiūra daro prielaidą, kad vadovybė žino, apie ką kalbama, ne tik tai, kad kažkas buvo patvirtinta.

Kur tai pagrįsta: 21 straipsnio ir nacionalinės teisės aktos

Pagrindas yra Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje, kuri suteikia narėms galimybę atsakingai laikyti pagrindinių ir svarbių subjektų vadovus už pareigos atlikti rizikos valdymo priemones pažeidimus. Tikslus šio pareigų paskirstymo nustatymas — kam tai taikoma, kokiomis aplinkybėmis ir kokios pasekmės — priklauso nuo nacionalinio įstatymdario; Nyderlanduose tai Kibernetinio saugumo įstatymas, o NCSC teikia tvarką dėl to, kaip rizikos valdymo pareiga ir pranešimo pareiga praktikoje taikomos. Siekiant gauti tikslią nuostatos formuluotę ir Nyderlandų transpozicijos statusą, oficialus tekstas yra atskaitos taškas.