Krótka odpowiedź
Część usług ICT jest wymieniiona z nazwy na liście sektorów NIS2 i może być zatem sama podmiotem krytycznym lub ważnym podmiotem. Chodzi o dostawców usług zarządzanych i zarządzanych usług bezpieczeństwa, dostawców chmury obliczeniowej i centra danych. Jednak większość dostawców usług ICT — lokalny administrator sieci, jednostka utrzymująca serwery na odległość, dostawca aplikacji biznesowej — nie podlega liście sektorów. Często jednak zostają dotknięci, a mianowicie dlatego, że ich klient ma to ustawowo obowiązane: podmiot krytyczny lub ważny podmiot musi bowiem ocenić, jak bezpieczni są jej dostawcy, a dostawca usług ICT z dostępem do systemów jest dla tej oceny oczywistym kandydatem.
To, czy sam podlegasz obowiązkowi czy czy jesteś dotknięty poprzez łańcuch dostaw, zależy zatem od trzech równoczesnych czynników: czy Twój typ usługi figuruje na liście sektorów, czy Twoja organizacja osiąga wielkość, która przy tym zachodzi, i jaka jest Twoja rzeczywista rola u klientów, którzy sami już podlegają obowiązkowi. Te trzy czynniki razem określają odpowiedź i działają niezależnie od siebie — możesz osiągnąć wielkość bez siedzenia w odpowiednim sektorze lub dokładnie siedzieć w sektorze bez osiągnięcia wielkości.
Co lista sektorów mówi o usługach ICT
Dyrektywa NIS2 rozróżnia sektory o wysokiej krytyczności i pozostałe sektory krytyczne. W ramach infrastruktury cyfrowej i usług cyfrowych wymieniono dostawców usług zarządzanych (managed service providers) i dostawców zarządzanych usług bezpieczeństwa (managed security service providers), a także usługi przetwarzania w chmurze, centra danych i dostawców platform handlu elektronicznego i wyszukiwarek. Kto wchodzi pod jeden z tych opisów, przechodzi tę samą ocenę co każdy inny sektor: czy własna usługa odpowiada opisowi w dyrektywie, i jeśli tak, do której kategorii.
Kto dostarcza wyłącznie oprogramowanie, buduje stronę internetową lub sporadycznie wykonuje projekty IT bez ciągłego zarządzania, zwykle wykracza poza ten konkretny opis — choć dokładne rozgraniczenie pozostaje czymś dla sytuacji indywidualnej, a nie dla ogólnej praktyki. Jeśli wątpisz, który opis ma zastosowanie do Twojej usługi, w kilka pytań udzielić pierwszego wskazania wraz z odniesieniem do dokładnego miejsca w dyrektywie.
Wielkość ma takie samo znaczenie jak sektor
Sam sektor nie wystarczy, aby być podmiotem krytycznym lub ważnym podmiotem. NIS2 działa z kryteriami wielkości, które są zgodne ze standardową klasyfikacją dla średnich i dużych przedsiębiorstw: liczba pracowników i przychody lub suma bilansu mają znaczenie przy określaniu kategorii. Działalność jednoosobowa oferująca administrację sieciową kilkunastu lokalnym firmom zwykle znajduje się w innej kategorii pod względem wielkości niż ogólnopolski dostawca usług IT z setkami pracowników, nawet jeśli obie zasadniczo oferują tę samą usługę.
Krajowe ustawy wdrażające dyrektywę — w Niderlandach ustawa o bezpieczeństwie cybernetycznym — rozwijają te kryteria dalej, a nadzorca publikuje przy tym praktyczne wyjaśnienia. Śledzimy te źródła wraz z datą, w której je zobaczyliśmy, abyś mógł zapytać, kiedy wskazanie bazowało.
Zarządzanie na odległość i dostęp do systemów klienta: pozycja w łańcuchu dostaw
W usługach ICT pozycja w łańcuchu dostaw jest często decydującym czynnikiem, niezależnie od sektora i wielkości. Zarządzanie zdalne, dostęp do sieci klienta, zarządzanie hasłami lub utrzymywanie aplikacji krytycznej dla klienta — to są dokładnie cechy, które klient bierze pod uwagę przy ocenie własnych dostawców. Podmiot istotny lub ważny musi bowiem wykazać, że zagrożenia w łańcuchu dostaw są znane, a dostawca mający dostęp do systemów zajmuje wysoką pozycję na tej liście, niezależnie od tego, czy dany dostawca sam pojawia się na liście sektorów.
To wyjaśnia, dlaczego wielu dostawców usług ICT, którzy sami nie są zobowiązani, otrzymują jednak kwestionariusz bezpieczeństwa lub wymóg umowny. Nie jest to obowiązek prawny, który spoczywa bezpośrednio na nich, ale praktyczne wymóg, który przychodzi przez klienta — i który może rzeczywiście wpłynąć na umowę.
Podwykonawcy: łańcuch nie kończy się u Państwa
Jeśli sami pracują Państwo z podwykonawcami — niezależnym administratorem systemu, podmiotem zapewniającym hosting, zewnętrznym helpdeskiem — w praktyce przekazują Państwo to pytanie dalej. Jeśli Twój klient chce wiedzieć, jak uregulowany jest dostęp do systemów, istnieje duże prawdopodobieństwo, że postawisz to samo pytanie swoim własnym podwykonawcom. W ten sposób ocena łańcucha dostaw przechodzi przez wiele ogniw, nawet jeśli nikt w tym łańcuchu sam nie podlega liście sektorów.
Co to oznacza dla Twoich akt
To, czy sam jesteś zobowiązany, czy dotykasz go tylko poprzez łańcuch dostaw, czy nic z tego, określa, jak wygląda Twoje przygotowanie: pełne akta zgodności z wymogami ochrony, ukierunkowane odpowiedzi na kwestionariusze klientów, czy na razie brak działań. Przegląd dziesięciu środków, które wymóg ochrony od Ciebie oczekuje, i sposób, w jaki odnoszą się do tego, co klient pyta w kwestionariuszu, można znaleźć w wyjaśnieniu dla każdego tematu. Aby dowiedzieć się, jak secria.eu prowadzi źródła i na czym oparta jest wskazówka, jest to metodyka dobrym punktem wyjścia, a często zadawane pytania dotyczące zakresu ustawy są zebrane w przeglądzie pytań i odpowiedzi.
Zacznij od kontroli NIS2, aby sprawdzić, czy Twoja usługa pojawia się na liście sektorów, jaki rozmiar się liczy i co Twoja pozycja w łańcuchu dostaw dla Ciebie oznacza — bezpłatnie i bez konta.