który organ nadzoru kontroluje mój sektor w ramach NIS2

Nadzór uregulowany na poziomie kraju i sektora

Nadzorowanie przez właściwego organu zależy od kraju i sektora, w którym organizacja prowadzi działalność. Dyrektywa NIS2 wymaga od każdego państwa członkowskiego wyznaczenia co najmniej jednego organu właściwego, a wybór ten różni się w zależności od kraju. W Holandii wyznaczenie następuje na mocy ustawy o cyberbezpieczeństwie (będącej transpozycją NIS2), a w tej ustawie określono dla każdego sektora, który organ sprawuje nadzór — może to być nadzorCA sektoralny lub organ wyznaczony specjalnie w tym celu. Aby uzyskać ogólne informacje na temat obowiązu dołożenia należytej staranności i obowiązu zgłoszenia, należy zwrócić się do Krajowego Centrum Cyberbezpieczeństwa (NCSC), ale NCSC automatycznie nie jest nadzorcą dla każdego sektora.

Dla organizacji, które jeszcze nie wiedzą, czy ten temat jest dla nich właściwy, warto najpierw sprawdzić w jaki sposób określić, czy przedsiębiorstwo podlega NIS2 — pytanie "kto mnie nadzoruje" pojawia się bowiem dopiero po pytaniu "czy podlegam nadzorowi". Gdy jest to jasne, następnym krokiem jest zwykle przegląd dziesięciu środków wynikających z obowiązu dołożenia należytej staranności, ponieważ organ nadzorujący w praktyce je weryfikuje. Temat ten celowo nie otrzymuje tutaj ostatecznego przypisania konkretnego organu nadzorczego na sektor, ponieważ podział ten jest realizowany inaczej w każdym kraju, a w Holandii jest dalej doprecyzowywany w ustawie o cyberbezpieczeństwie.

Podstawa w dyrektywie i prawie krajowym

Dyrektywa NIS2 w artykule 21 ust. 2 odnosi się do dziesięciu środków, które muszą podjąć podmioty o kluczowym lub istotnym znaczeniu, ale pytanie, który organ sprawuje nadzór, pozostawiono państwom członkowskim w samej dyrektywie i konkretyzuje się dopiero w transpozycji krajowej — w Holandii w ustawie o cyberbezpieczeństwie. Dlatego właściwym źródłem do znalezienia konkretnego organu nadzorczego na sektor jest tekst samej ustawy, uzupełniony publikacjami organów nadzorczych, które udostępnia Krajowe Centrum Cyberbezpieczeństwa (NCSC).