Rejestracja u regulatora: jak to działa?
Podmioty kwalifikujące się jako podmioty kluczowe lub ważne na mocy dyrektywy NIS2 muszą zarejestrować się u krajowego regulatora. Odbywa się to za pośrednictwem portalu, który regulator udostępnia w tym celu, zawierającego informacje o Twojej organizacji, osobach kontaktowych i świadczonych przez Ciebie usługach. Nie otrzymasz listu, który Cię o tym przypomni: obowiązek rejestracji spoczywa na samej organizacji, a nie na regulatorze, aby Cię znaleźć.
To ostatnie zaskakuje wielu dyrektorów. W przypadku innych obowiązków — licencji, rocznego zgłoszenia — często otrzymujesz sygnał od samych władz. W przypadku obowiązku rejestracji na mocy ustawy o cyberbezpieczeństwie działa to odwrotnie: regulator nie wie od razu, które organizacje podlegają ustawie, i dlatego zależy od Twojej własnej oceny i działania.
Jakie dane są wymagane
Rejestracja zwykle wymaga danych identyfikacyjnych organizacji, takich jak nazwa, numer KRS i adres, uzupełnione o sektor i działalność, na mocy których podlegasz ustawie. Ponadto wymagane są dane jednej lub więcej osób kontaktowych, z którymi regulator może się skontaktować, wraz z imieniem i nazwiskiem, numerem telefonu i adresem e-mail — są to często inne osoby niż standardowa osoba kontaktowa firmy, ponieważ chodzi o dostępność w przypadku incydentu. Sieci i systemy informatyczne lub usługi istotne dla kwalifikacji jako podmiot kluczowy lub ważny, a czasem kraje członkowskie, w których świadczysz usługi, są również istotne dla obrazu, jaki regulator chce uzyskać.
Dokładne pola i układ formularza różnią się w zależności od kraju, ponieważ każde państwo członkowskie implementuje dyrektywę w ramach własnego krajowego ustawodawstwa, a regulator sam tworzy portal. Dlatego to, co jest wymagane w Holandii, niekoniecznie będzie dokładnie odpowiadać temu, co regulator wymaga od spółki zależnej w innym kraju.
Dlaczego nie przychodzi list
Obowiązek rejestracji jest ukonstruowany jako obowiązek organizacji, a nie jako zaproszenie od rządu. Regulator nie dysponuje na początek ustawy pełną listą tego, kto jest aktywny gdzie i poniżej jakiego progu — ta informacja musi pochodzić od samego sektora. Jest to podobne do tego, jak działa rejestracja KRS lub zgłoszenie VAT: odpowiedzialność za podjęcie działań na czas spoczywa na przedsiębiorcy, nawet jeśli nikt nie wysyła przypomnienia.
Dla wielu małych i średnich przedsiębiorstw, na które ma wpływ łańcuch dostaw, i tak nie ma to zastosowania: tylko podmioty kluczowe i ważne same mają obowiązek rejestracji. Firmy, które otrzymują tylko kwestionariusz bezpieczeństwa od odbiorcy podlegającego ustawie, nie rejestrują się u regulatora. To, czy Twoja organizacja należy do pierwszej czy drugiej grupy, nie zawsze jest od razu jasne; w kilku pytaniach widać, gdzie stoi Twoja organizacja daje tutaj pierwszy kierunek, wraz z wyjaśnieniem dla każdego wyniku.
Kiedy się rejestrować
Prawo krajowe określa, w jakim terminie i od kiedy organizacja musi się zarejestrować po kwalifikowaniu się jako podmiot kluczowy lub ważny. Terminy te znajdują się w krajowej implementacji dyrektywy i na stronie internetowej samego regulatora i mogą się zmienić wraz z dalszym opracowywaniem ustawodawstwa. Aby uzyskać aktualny stan, powinieneś skontaktować się z właściwym regulatorem lub prawnikiem, a nie z ogólnym artykułem — zmiana witryny lub ogłoszenie regulatora jest na tym punkcie wiodące, a nie data gdzieś zapisana.
Co secria.eu robi i nie robi przy rejestracji
Platforma pomaga w przygotowaniu tekstu i danych potrzebnych do wypełnienia formularza rejestracyjnego: które osoby kontaktowe należy podać, jaki opis sektora i działalności odpowiada sposobowi kategoryzacji przez organ nadzoru, i jakie uzasadnienie stoi za kwalifikacją. Co platforma wyraźnie nie robi, to złożenie wniosku w Twoim imieniu. Ty sam składasz wniosek w portalu organu nadzoru; secria.eu przygotowuje tekst, Ty go umieszczasz. Jak dokładnie przebiega ta przygotowywanie i które źródła są przy tym używane, wyjaśniono na stronie o tym, jak powstają informacje.
Wątpliwości dotyczące Twojej własnej sytuacji
To, czy i kiedy rejestracja jest istotna dla Twojej organizacji, zależy od sektora, w którym działasz, wielkości Twojej organizacji i ustawy krajowej, która do Ciebie ma zastosowanie. To nie jest pytanie, na które jeden ogólny artykuł może odpowiedzieć dla Twojej konkretnej sytuacji; do tego właściwym punktem kontaktu jest organ nadzoru lub prawnik. Najczęściej zadawane praktyczne pytania dotyczące rejestracji, obowiązku meldowania i roli dostawców zostały zebrane na stronie z najczęściej zadawanymi pytaniami.
Czy chcesz najpierw przejrzeć wszystkie tematy związane z dyrektywą NIS2 i ustawą o cyberbezpieczeństwie, od podziału sektorów do dziesięciu obowiązków ochrony? Znajdziesz je, wyselekcjonowane dla Twojej sytuacji, na stronie przeglądowej ze wszystkimi tematami. A jeśli jeszcze nie wiesz, czy rejestracja dla Ciebie jest istotna, bezpłatna szybka ocena to najszybszy pierwszy krok, aby to wyjaśnić.