Krótka odpowiedź
Metalurgia i produkcja nie są wymienione jako takie w załącznikach Dyrektywy NIS2. Nie oznacza to, że sektor pozostaje poza zasięgiem. Część przemysłu produkcyjnego podlega dyrektywie, mianowicie tam, gdzie działalność pokrywa się z jednym z wymienionych sektorów — na przykład produkcja określonych urządzeń medycznych, maszyn, urządzeń elektrycznych lub części pojazdów, które zostały wymienione w załączniku II jako sektor produkcji. Zwykłe biuro konstrukcyjne lub podwykonawca w obróbce blach zwykle między nimi nie figuruje.
To, czy Twoje przedsiębiorstwo dokładnie pasuje do tego wyliczenia, nie da się stwierdzić na pierwszy rzut oka: dyrektywa operuje kodami NACE i opisami bardziej precyzyjnymi niż "metalurgia" lub "produkcja" jako nazwa zbiorcza. Ponadto bierze się pod uwagę wielkość i pozycję w łańcuchu dostaw, i te trzy czynniki trzeba rozpatrywać razem, zanim wyciągniesz wnioski. w kilku pytaniach sprawdzić, gdzie stoi Twoja firma daje tu pierwsze wskazówki, bez konieczności samodzielnego przeszukiwania pełnego tekstu.
Sektor: która część produkcji jest faktycznie wymieniona
Załącznik I zawiera sektory uważane za "istotne", takie jak energia, woda pitna i transport — klasyczne usługi publiczne. Załącznik II dodaje sektory uważane za "ważne", i tam znajdzie się też część produkcji: produkcja określonych urządzeń medycznych i diagnostyki in vitro, komputery i produkty elektroniczne, urządzenia elektryczne, maszyny i urządzenia, pojazdy mechaniczne i części. Dostawca, który dokładnie pasuje do takiej grupy produktów, może zatem rzeczywiście podlegać dyrektywie, nawet jeśli przedsiębiorstwo nigdy nie postrzegało się jako "infrastruktura krytyczna".
Dla przedsiębiorstw znajdujących się poza tym wykazem — na przykład ogólna obróbka metalu, prace blacharskie, spawalnicze lub budownictwo konstrukcyjne bez konkretnie wymienionego produktu końcowego — warunek sektorowy nie ma zastosowania. Nie wyklucza to jednak obowiązku poprzez łańcuch dostaw, do czego wrócimy później.
Wielkość: granica między małymi i średnimi a dużymi
Jeśli sektor się pokrywa, bierze się pod uwagę wielkość przedsiębiorstwa. Dyrektywa posługuje się europejskim podziałem na mikro-, małe, średnie i duże przedsiębiorstwa, oparty na liczbie pracowników w połączeniu z przychodami lub sumą bilansową. Małe i średnie przedsiębiorstwa zwykle nie podlegają bezpośredniemu obowiązkowi, z wyjątkami, które może wskazać ustawodawca krajowy. Dokładne progi i ewentualne wyjątki znajdują się w tekście dyrektywy i jej krajowej transpozycji; nie wymyślamy tych liczb tutaj, ale można je znaleźć w źródłach oficjalnych.
Dla rodzinnego przedsiębiorstwa z piętnastu pracownikami, które dokładnie pasuje do wymienionej grupy produktów, sektor zatem nie jest automatycznym obowiązkiem — wielkość może być decydująca, że nie powstaje bezpośredni obowiązek. Dla większego, eksportującego producenta maszyn ze setkami pracowników ta sama klasyfikacja sektora może prowadzić do obowiązku.
Pozycja w łańcuchu dostaw: zagrożona również bez własnego obowiązku
Większość metalurgii i produkcji nie podlega poprzez listę sektorów, ale poprzez klienta. Podmiot istotny lub ważny — firma energetyczna, zakład wodociągowy, duży producent urządzeń medycznych — musi w ramach obowiązku dbałości również ocenić ryzyka w własnym łańcuchu dostaw. W praktyce przełada się to na kwestionariusze bezpieczeństwa, wymogi umowne i czasem obowiązkową procedurę zgłaszania incydentów do zleceniodawcy, podczas gdy samo dostarczające przedsiębiorstwo pozostaje poza prawem. Jeśli pracujesz jako operator tokarni CNC, zakład spawalniczy lub dostawca części dla takiego podmiotu, konsekwencje napotkasz raczej poprzez umowę niż poprzez samo prawo. To, jak czytać i odpowiadać na taki kwestionariusz, to osobna kwestia; wyjaśnieniu dla każdego tematu zestawia najczęstsze sytuacje obok siebie.
Systemy produkcyjne podłączone do sieci
Jednym z powodów, dla których zamawiający w przemyśle produkcyjnym tu dokładnie sprawdzają, jest powiązanie między automatyką biurową a produkcją. Maszyny, sterowniki PLC i linie produkcyjne, które kiedyś pracowały w izolacji, są w wielu przedsiębiorstwach połączone z tą samą siecią co planowanie, faktury i poczta elektroniczna. Zamawiający oceniający własny łańcuch dostaw patrzy nie tylko na systemy biurowe, ale również na sposób ochrony tych systemów produkcyjnych, kto ma do nich dostęp i co się dzieje w razie awarii lub przerwania. To wyjaśnia, dlaczego listy kontrolne w tym sektorze często wykraczają poza pytania typu "czy macie politykę haseł" i w szczególności pytają o segmentację sieci między biurem a produkcją.
Co robić, jeśli sytuacja jest jeszcze niejasna
Ponieważ sektor, wielkość i pozycja w łańcuchu dostaw są od siebie niezależne, całkiem możliwe, że przedsiębiorstwo metalurgiczne nie odpowiada dokładnie żadnemu z tych trzech kryteriów, odpowiada jednemu albo wszystkim trzem jednocześnie. Jednoznaczna odpowiedź wymaga zestawienia własnego kodu NACE, ostatnich wyników finansowych i obrazu głównych odbiorców. jak powstaje wynik weryfikacji pokaż, które źródła są przy tym wykorzystywane, w tym datę ich konsultacji. W przypadku własnej, ostatecznej sytuacji prawnikiem lub wyznaczonym organem nadzoru pozostaje właściwy punkt kontaktowy.
Chcesz dla własnej firmy wstępny kierunek bez zagłębiania się na pół dnia: kontrola NIS2 jest bezpłatna i pyta tylko o sektor, rozmiar i kilka pytań o Twoich głównych zleceniodawców. często zadawane pytania dotyczące dyrektywy NIS2 i przemysłu produkcyjnego odpowiada na wiele pytań, które w tym sektorze często pojawiają się, zanim będziesz musiał sam dzwonić.