Czy moje przedsiębiorstwo podlega NIS2?
Dwie rzeczy to określają: wasz sektor i wielkość. Ale istnieje trzecia grupa, która spoza tego spada, a wymogi i tak otrzymuje.
Sektor i wielkość, w tej kolejności
NIS2 to dyrektywa europejska dotycząca bezpieczeństwa sieci i systemów informatycznych. Wyznacza osiemnaście sektorów, podzielonych na dwie załączniki. Załącznik I to sektory o wysokiej krytyczności: energia, transport, opieka zdrowotna, woda pitna, infrastruktura cyfrowa, administracja publiczna. Załącznik II to pozostałe sektory krytyczne, takie jak poczta, odpady, chemia, artykuły spożywcze, przemysł i dostawcy usług cyfrowych.
Jeśli wasz sektor tam nie figuruje, nie podlegacie NIS2. Jeśli figuruje, liczy się wasz rozmiar. Od około pięćdziesięciu pracowników lub dziesięciu milionów euro przychodów jesteście średnimi przedsiębiorstwami i obowiązują was wymogi. Jeśli jesteście większe niż dwustu pięćdziesięciu pracowników lub pięćdziesięciu milionów przychodów i znajdujecie się w załączniku I, jesteście jednostką kluczową i podlegacie nadzorowi z wyprzedzeniem. Pozostali to jednostki ważne: ten sam obowiązek opieki, ale nadzór dopiero, jeśli istnieje dla tego powód.
Trzecia grupa, i to ta największa
Zdecydowana większość organizacji, które się z tym spotykają, sama pod to nie podlega. Dostarczają komuś, kto podlega. Dyrektywa bowiem zobowiązuje organizacje podlegające do oceny bezpieczeństwa swoich dostawców, a robią to za pomocą list kontrolnych i wymogów umownych.
Dla was oznacza to brak obowiązku rejestracji, brak obowiązku zgłoszenia i brak grzywny. Ale mają klienta, który chce odpowiedzi, i jeśli jej udzielić nie potraficie, umowę zawrze gdzie indziej. W praktyce dotyczy to więcej firm i szybciej niż sama ustawa.
Wyjątki, których nie należy przegapić
Również poniżej progu możecie być zobowiązani. Jeśli jesteście jedynym dostawcą usługi w państwie członkowskim, lub jeśli awaria waszej usługi miałaby poważne konsekwencje społeczne, wasz organ nadzoru może was mimo wszystko wskazać. Dostawcy publicznych usług komunikacji elektronicznej i dostawcy usług zaufania podlegają niezależnie od ich wielkości.
W drugą stronę też coś się liczy. Banki i rynki finansowe w praktyce podlegają DORA, rozporządzeniu o odporności cyfrowej dla sektora finansowego. To działa jako przepis szczególny. Jeśli się w tym rozpoznajecie, poproście doradztwo w tej sprawie.
Często zadawane pytania
Czy otrzymam powiadomienie, jeśli podlegam?
Nie, i to jest pułapka. Nie będzie listu. Sami musicie to ustalić i sami się zarejestrować u organu nadzoru.
Co jeśli źle oszacuję sytuację?
Błędne przekonanie, że nie podlegacie, to najdroższy scenariusz: grzywny sięgają dziesięciu milionów euro lub dwóch procent światowego przychodu, a zarząd ponosi osobistą odpowiedzialność. Jeśli macie wątpliwości, zakładajcie, że podlegacie i poproście o sprawdzenie.
Czy dotyczy to również mojego oddziału zagranicznego?
Dyrektywa obowiązuje w całej UE, ale obowiązki powstają na mocy prawa krajowego każdego kraju, a nie wszędzie są równie zaawansowane. Rejestrujecie się w kraju, w którym jesteście zarejestrowani; w przypadku wielu oddziałów może to być kilka miejsc.
To wyjaśnienie, nie rada dotycząca waszej konkretnej sytuacji. secria.eu nie ocenia waszej organizacji i nie udziela żadnych zapewnień.