Czy kierownictwo ponosi osobistą odpowiedzialność zgodnie z dyrektywą NIS2?
Dyrektywa NIS2 nie tylko reguluje to, co organizacja musi robić z technicznego i organizacyjnego punktu widzenia, ale również zwraca się bezpośrednio do zarządu. Dyrektywa wymaga od członków zarządu zatwierdzenia środków zarządzania ryzykiem, nadzorowania ich wdrażania i przeszkolenia się w tym zakresie. To inna rola niż rola działu IT lub zewnętrznego dostawcy i nie można jej delegować.
To, czy prowadzi to do osobistej odpowiedzialności poszczególnego członka zarządu, zależy od prawa krajowego, które implementuje dyrektywę, i od szerszego prawa spółek kraju, w którym organizacja ma siedzibę. W Holandii odbywa się to poprzez ustawę o cyberbezpieczeństwie i istniejące przepisy dotyczące odpowiedzialności zarządu za niewłaściwe zarządzanie. Aby dowiedzieć się, co dokładnie zostało ustalone w tym zakresie i co jest jeszcze w opracowaniu, najlepiej poruszyć tę kwestię z prawnikiem; niniejszy artykuł opisuje główne kierunki, a nie Twoją indywidualną sytuację.
Co dyrektywa wymaga od zarządu
Obowiązek staranności wynikający z NIS2 składa się z dwóch warstw, które się uzupełniają. Pierwsza warstwa to organizacja: dziesięć środków, które stanowią rejestr cyberbezpieczeństwa, od kontroli dostępu do obsługi incydentów. Druga warstwa to zarząd: musi znać te środki, je zatwierdzić i je monitorować. Nie oznacza to, że członek zarządu musi w szczegółach rozumieć technikę, ale powinien wiedzieć, jakie ryzyko niesie organizacja, jakie wybory w tym względzie zostały dokonane i czy te wybory są przestrzegane. Kto chce dokładnie wiedzieć, jakie środki to dotyczą, znajdzie przegląd w przeglądzie wszystkich tematów NIS2.
Dlaczego nie można tego zlecić
To całkowicie normalne, że organizacja powierza wdrażanie środków bezpieczeństwa dostawcy IT, dostawcy usług zarządzanych lub wewnętrznemu pracownikowi ds. bezpieczeństwa. To dozwolone i dla wielu organizacji MKB to jedyna realistyczna droga. Jednak dyrektywa rozróżnia między wykonywaniem a odpowiedzialnością. Dostawca może zarządzać zaporą, ustalać politykę haseł lub prowadzić kopię zapasową; zarząd pozostaje osobą, która musi móc wykazać, że wie, co się dzieje i że świadomie dokonał takiego wyboru. Umowa z dostawcą reguluje wykonanie, a nie zaangażowanie zarządu, które dyrektywa wymaga.
Dotyczy to również tematu łańcucha dostaw. Organizacja, która sama podlega NIS2, musi monitorować ryzyka, które niosą ze sobą dostawcy — stąd właśnie firmy MKB otrzymują kwestionariusze bezpieczeństwa od swoich zleceniodawców. Ta sama logika obowiązuje wewnętrznie: zarząd monitoruje to, co robi sama organizacja, nawet jeśli prace wykonywane są gdzie indziej.
Co w praktyce oznacza nadzorowanie
Nadzorowanie nie jest kwestią jednorazowego podpisania dokumentu. Dyrektywa mówi o zatwierdzeniu środków i szkoleniu, co sugeruje, że jest to proces powtarzający się: okresowe sprawdzanie, czy środki są aktualne, czy zostały wdrożone i czy coś się zmieniło, co wymaga korekty. Dla członka zarządu bez technicznego doświadczenia najbardziej praktyczną formą jest zwykle stały przegląd: jakie są środki, jaki jest ich stan, kto jest właścicielem i jaki dokument dowodowy do tego należy. Bez takiego rejestru trudno wykazać nadzorowanie, nawet jeśli faktycznie miało miejsce.
Co wiemy i czego nie wiemy na pewno
Sama dyrektywa opisuje rolę zarządu na poziomie europejskim; sposób, w jaki dokładnie przełoży się to na prawo dotyczące odpowiedzialności, różni się w zależności od kraju, a ustawodawstwo krajowe nie wszędzie jest ostateczne w tym samym czasie. Organy nadzoru publikują na ten temat własne wytyczne, a te wytyczne mogą się zmieniać. Śledzimy to dla każdego kraju i każrego źródła wraz z datą, kiedy je dostrzegliśmy; jak dokładnie działa to gromadzenie źródeł, wyjaśniono na stronie o tym, jak śledzimy źródła. W celu wydania opinii na temat odpowiedzialności konkretnego członka zarządu w konkretnej organizacji właściwym punktem kontaktowym pozostaje prawnik lub właściwy organ nadzoru.
Co możesz udokumentować
Nawet bez pełnej pewności prawnej dotyczącej osobistej odpowiedzialności istnieje praktyczna praca do wykonania: udokumentowanie, które środki zostały wdrożone, kto nimi zarządza i kiedy zarząd ostatnio je omówił. To jest dokładnie cel, do którego służy dossier bezpieczeństwa cybernetycznego — żyjący rejestr zamiast jednorazowego raportu. Chcesz najpierw wiedzieć, czy Twoja organizacja sama podlega obowiązkowi staranności, czy jest dotknięta przez łańcuch dostaw, wtedy bezpłatna weryfikacja NIS2 zapewnia to w kilku pytaniach wstępne wskazanie, wraz z wyjaśnieniem dlaczego.
Zacznij od tego, gdzie się znajdujesz: przejrzyj bezpłatną weryfikację NIS2 lub przeglądaj bazę wiedzy, aby zobaczyć, które tematy są istotne dla Twojej organizacji.