A Lei de Cibersegurança: o que se aplica na Holanda
A transposição holandesa da NIS2, e por que não há período de transição.
Sem período de transição
A Holanda transpos a NIS2 na Lei de Cibersegurança. Ao contrário de muita legislação, não há período de transição: as obrigações vigoram a partir da entrada em vigor. As organizações abrangidas devem registar-se e cumprir a zorgplicht.
Esta é a razão pela qual há agora tanta agitação. Milhares de organizações descobrem apenas este ano que estão abrangidas, e os seus fornecedores notam-o através dos questionários que se seguem.
Quem faz o quê
Existe uma autoridade reguladora que faz cumprir e um CSIRT para onde vão as notificações de incidentes e de onde vem a informação sobre ameaças. Para alguns setores, foi designada uma autoridade reguladora própria; qual é depende do seu setor.
O governo oferece ele próprio auto-avaliações e orientações. Estas são boas e gratuitas, e nós remetemos para elas. Onde nós vamos mais longe é na pergunta que se segue: como o documenta, como o mantém atualizado e como o utiliza para responder ao questionário do seu cliente.
A obrigação dos administradores
Um ponto que na Holanda está mais claramente definido do que na própria diretiva: o conselho de administração deve aprovar as medidas, supervisionar a sua execução e seguir formação para o efeito. Esta responsabilidade recai sobre o administrador pessoalmente e não pode ser contratualizada.
Para os colaboradores é diferente. A formação decorre da zorgplicht, mas não existe uma obrigação separada na lei. Mencionamos essa diferença, porque é importante para o que tem de organizar e para o custo.
Perguntas frequentes
Onde me registo?
Junto da autoridade reguladora, através do portal destinado para o efeito. Necessita de um meio de acesso associado à sua organização. Nós preparamos os dados solicitados; a submissão faz-a você próprio.
O que acontece se não me registar?
Não registar-se é uma violação em si, independentemente de a sua segurança estar em ordem. É também a primeira coisa que uma autoridade reguladora vê.
Existem requisitos mais baixos para pequenas organizações?
As medidas devem ser apropriadas e proporcionais, portanto sim: espera-se menos de uma organização de sessenta pessoas do que de uma de seis mil. Mas os tópicos são os mesmos, e o registo e a obrigação de notificação não têm desconto.
Esta é uma explicação, não um parecer sobre a sua situação. secria.eu não avalia a sua organização nem presta garantia.