Vai vadības locekļi var būt personīgi atbildīgi par NIS2 pārkāpumiem

Jā, būtiskās subjekta vadības grupu locekļus var saukt pie personiskās atbildības

Būtiskajiem subjektiem Direktīvas (ES) 2022/2555 21. panta 2. punkts paredz iespēju, ka vadības personu var saukt pie personiskās atbildības par vadības un uzraudzības pienākumiem attiecībā uz kiberdrošības pasākumiem savā organizācijā. Tas nav mazsvarīgs aspekts direktīvā: vadības grupai jāpazīst riska pārvaldības pasākumi, tie jāapstiprina un aktīvi jāuzrauga, nevis tikai jāparaksta politikas dokuments. Tas, kā tas konkrēti tiks īstenots — kuri vadības locekļi, kādi nosacījumi un kādas sekas — ir jāprecizē valsts transpozīcijā, Nīderlandē Kiberdrosinājumu draudzības likumā.

Tas ir tieši saistīts ar jautājumu kas notiks, ja organizācija neievēro nis2 pienākumus: papildus pasākumiem, kurus var veikt organizācijai kopumā, direktīva šo noteikumu ar konkrētu uzmanību vērš uz vadības grupu kā fizisko personu. Tas ir atšķirīgs no daudziem citiem atbilstības pienākumiem, kur juridiskā persona parasti ir atbildīgā puse un vadības grupa paliek attālumā. Lai šo atbildību padarītu konkrētu, ir noderīgi zināt kādi desmit pasākumi saskaņā ar nis2 ir jāveic — jo apstiprinājums un uzraudzība pieņem, ka vadības grupa saprot, par ko runā, nevis tikai to, ka kaut kas ir apstiprināts.

Uz ko tas ir balstīts: Direktīvas 21. pants un valsts likums

Pamats ir Direktīvas (ES) 2022/2555 21. panta 2. punkts, kas dalībvalstīm dod iespēju saukt vadības grupas locekļus pie atbildības par vadības pienākuma pārkāpumiem. Konkrēta formulējuma izveide — uz kuru tas attiecas, kādi nosacījumi un kādas sekas — ir valsts normatīvajā aktā; Nīderlandē tas ir Kiberdrosinājumu draudzības likums, un NCSC sniedz padomus par to, kā vadības pienākums un paziņošanas pienākums tiek īstenots praksē. Lai iegūtu precīzu noteikumu formulējumu un Nīderlandes transpozīcijas statusu, par pamatu jāņem oficiālais teksts.