Gdzieś przeczytał(a) pan/pani, że kary za NIS2 mogą sięgać dziesięciu milionów euro lub dwóch procent przychodów, i zastanawia się pan/pani, czy może to Pana/Panią dotyczyć. Krótka odpowiedź: kwoty te rzeczywiście znajdują się w dyrektywie, ale są przeznaczone dla jednostek istotnych i ważnych — organizacji, które same podlegają NIS2, z obowiązkiem ochrony, obowiązkiem rejestracji i obowiązkiem zgłoszenia. Jeśli Pana/Pani przedsiębiorstwo nie podlega tym wymogom, ale dostarcza takie organizacje, to kara nie jest ryzykiem, które powinno Pana/Panią niepokoić.
Ryzyko, które rzeczywiście Pana/Panią wcześniej dotknie, jest bardziej praktyczne i pojawia się szybciej: odbiorca, który sam podlega obowiązkowi ochrony, musi ocenić swoich dostawców. Jeśli nie potrafią Państwo odpowiedzieć na ankietę lub wykazać się spełnieniem wymogów umownych, to zwykle nie grozi kara, ale utrata umowy. Ten proces trwa zwykle tygodnie, a nie lata.
Dla kogo kara jest rzeczywiście przeznaczona
Dyrektywa kieruje egzekwowanie na organizacje, które same są zobowiązane: jednostki istotne i ważne z sektorów wymienione w załączniku I i II. Dla nich ustawa krajowa — w Niderlandach Ustawa o cyberbezpieczeństwie — określa, jak nadzorujący postępuje w przypadku niespełnienia obowiązku ochrony lub obowiązku zgłoszenia. Jeśli nie podlegają Państwo obowiązkom, ale dostarczają takim jednostkom, to nie są Państwo stroną tego postępowania egzekucyjnego. Dyrektywa Pana/Panią dotyczy, ale poprzez wymogi umowne Pana/Pani odbiorcy, a nie poprzez decyzję o karze wydaną na Pana/Pani nazwisko. Jeśli zastanawiają się Państwo, czy Pana/Pani organizacja sama podlega ustawie, można to ustalić kilka pytań za pomocą sprawdzenia, która w kilka kroków wyjaśni Pana/Pani sytuację.
Kwoty wymienione w dyrektywie
Dyrektywa sama wymienia kwoty maksymalne dla jednostek istotnych i ważnych, z wyższą górną granicą dla jednostek istotnych niż dla ważnych. Zawsze chodzi o wyższą z kwoty stałej lub procent światowych rocznych przychodów — więc nie automatycznie pełna kwota za każde naruszenie. Jak nadzorujący waży to w konkretnym przypadku i jaka kwota jest rzeczywiście nałożona, nie jest określone w dyrektywie i zależy od właściwego organu nadzorczego. Celowo nie przewidujemy tego; co dokładnie mówią dyrektywa i ustawa krajowa, można przeczytać w tekście oficjalnym i publikacjach organu nadzorczego.
Dlaczego umowa pojawia się wcześniej niż kara
Postępowanie w sprawie kary zwykle rozpoczyna się dopiero po sygnałach, badaniu i możliwości naprawy — to wymaga czasu. Dział zakupów, który wysyła ankietę bezpieczeństwa, na to nie czeka. Jeśli odpowiedź brakuje lub jest niekompletna, zamówienie zwykle po prostu trafia do innego dostawcy lub otrzymują Państwo termin naprawy, który sami muszą wypełnić. To sprawia, że rozmowa z Pana/Pani odbiorcą jest dla większości małych i średnich przedsiębiorstw bardziej pilna niż pytanie, czy kara kiedykolwiek pojawi się na horyzoncie. Więcej o tym, co dokładnie kryje się za taką ankietą, można przeczytać w przeglądzie tematów opracowanych dla każdej sytuacji.
Co to oznacza, jeśli podlegają Państwo zmianie w łańcuchu dostaw
Jeśli nie podlegają Państwo obowiązkom, ale jesteście dostawcą organizacji zobowiązanej, to pytanie nie brzmi, czy grozi kara, ale czy potraficie wykazać, że macie w porządku wymagane środki. Chodzi o dokumenty dowodowe, właściciela dla każdego środka i odpowiedź, którą nie musicie wymyślać za każdym razem. Kto to raz ustanowił, odpowiada na następną ankietę ze znacznie mniejszym wysiłkiem. Często zadawane pytania o to, co można i czego nie można od was wymagać, są zebrane w stronie z najczęściej zadawanymi pytaniami.
Jeśli Twoja organizacja jest sama istotnym lub ważnym podmiotem, grzywna stanowi ostateczną konsekwencję, ale właściwa obowiązkiem dołożenia należytej staranności jest wykonanie pracy: wdrażanie środków, dokumentowanie ich i umiejętność ich wykazania. Jak przebiega ten proces i skąd pochodzą informacje na tej stronie, wyjaśniono na stronie opisującej sposób działania platformy.
Chcesz wiedzieć, czy Twoja organizacja sama podlega dyrektywie NIS2, czy tylko poprzez odbiorcę? Wykonaj bezpłatną kontrolę NIS2 albo najpierw spokojnie przeczytaj bazę wiedzy — obie opcje są dostępne bez konta.