czy kierownictwo może ponosić osobistą odpowiedzialność za naruszenie NIS2

Tak, w przypadku podmiotów istotnych kierownictwo może być pociągnięte osobiście do odpowiedzialności

W przypadku podmiotów istotnych artykuł 21 ust. 2 dyrektywy NIS2 przewiduje możliwość pociągnięcia osób zarządzających do osobistej odpowiedzialności za zatwierdzanie i nadzorowanie środków cyberbezpieczeństwa w ich organizacji. Nie jest to kwestia drugorzędna w dyrektywie: kierownictwo musi znać, zatwierdzić i aktywnie nadzorować środki zarządzania ryzykiem, a nie tylko podpisać dokument polityki. Sposób, w jaki dokładnie się to rozegra — którzy członkowie kierownictwa, w jakich warunkach i z jakimi konsekwencjami — określony zostaje w transponowaniu narodowym, w Holandii poprzez Ustawę o cyberbezpieczeństwie.

Dotyczy to bezpośrednio pytania co się stanie, jeśli organizacja nie spełni wymogów NIS2: oprócz środków, które mogą być podjęte wobec organizacji jako całości, dyrektywa poprzez to postanowienie kieruje się bezpośrednio do kierownika jako osoby fizycznej. Jest to zmiana w stosunku do wielu innych zobowiązań compliance'owych, gdzie zwykle osoba prawna jest punktem kontaktu, a kierownictwo pozostaje na dystans. Aby uczynić tę odpowiedzialność konkretną, pomocne jest wiedzieć które dziesięć środków należy wdrożyć zgodnie z NIS2 — ponieważ zatwierdzanie i nadzorowanie zakładają, że kierownictwo wie, o czym się mówi, a nie tylko to, że coś zostało zatwierdzone.

Na czym się to opiera: artykuł 21 i prawo krajowe

Podstawą jest artykuł 21 ust. 2 dyrektywy (UE) 2022/2555, który daje państwom członkowskim możliwość pociągnięcia członków kierownictwa podmiotów istotnych i ważnych do odpowiedzialności za naruszenia obowiązku staranności. Dokładna implementacja — kto jest nią objęty, w jakich okolicznościach i z jakimi konsekwencjami — pozostaje w gestii ustawodawcy krajowego; w Holandii jest to Ustawa o cyberbezpieczeństwie, a NCSC udziela wytycznych dotyczących praktycznego wdrażania obowiązku staranności i obowiązku zgłaszania. W celu ustalenia dokładnego brzmienia postanowienia i statusu holenderskiego transponowania tekst oficjalny jest punktem wyjścia.