Răspunsul scurt
O parte a serviciilor ICT este menționată cu numele în lista sectorială NIS2 și poate fi astfel ea însăși entitate esențială sau importantă. Gândiți-vă la furnizorii de servicii gestionate și servicii de securitate gestionate, furnizorii de servicii cloud și centre de date. Dar majoritatea furnizorilor de servicii ICT — administratorul de rețea local, echipa care menține serverele de la distanță, furnizorul unei aplicații de afaceri — nu se încadrează ei înșiși în lista sectorială. Ei sunt adesea afectați, și anume pentru că clientul lor este obligat prin lege: o entitate esențială sau importantă trebuie să evalueze cât de securizați sunt furnizorii ei, iar un furnizor de servicii ICT cu acces la sisteme este pentru o asemenea evaluare o parte evidentă.
Indiferent dacă sunteți voi înșivă obligați sau dacă sunteți afectați prin lanț, depinde deci de trei lucruri alături: tipul dvs. de serviciu se găsește în lista sectorială, organizația dvs. atinge volumul care se cuvine acesteia, și care este rolul dvs. factual la clienții care sunt ei înșiși obligați. Aceste trei factori determină împreună răspunsul și funcționează independent unii de alții — puteți atinge volumul fără a fi în sectorul potrivit, sau puteți fi exact în sector fără volumul necesar.
Ce spune lista sectorială despre serviciile ICT
Directiva NIS2 face distincție între sectoare de criticalitate ridicată și alte sectoare critice. În cadrul infrastructurii digitale și serviciilor digitale se găsesc printre altele furnizorii de servicii gestionate (managed service providers) și furnizorii de servicii de securitate gestionate (managed security service providers) menționați în mod explicit, alături de serviciile de cloud computing, centre de date și furnizori de piețe online și motoare de căutare. Cine se încadrează sub una din aceste categorii, trece prin același test ca orice alt sector: serviciul dvs. corespunde descrierii din directivă, și dacă da, în care categorie.
Cine livrează doar software, construiește un site web sau execută proiecte IT incidental fără gestionare continuă, se situează de obicei în afara acestei descrieri specifice — deși delimitarea precisă rămâne ceva pentru situația dvs. proprie, nu pentru o regulă generală. Dacă vă îndoiți cu privire la care descriere se aplică serviciilor dvs., aceasta este unul din punctele în care cu câteva întrebări oferă o indicație preliminară cu o remitere către locul precis din directivă.
Volumul contează la fel de mult ca sectorul
Un sector singur nu este suficient pentru a fi esențial sau important. NIS2 funcționează cu criterii de volum care se aliniază la clasificarea standard pentru întreprinderi de dimensiuni mici și medii și pentru mari: numărul de angajați și cifra de afaceri sau totalul bilanțului joacă un rol în determinarea categoriei. O afacere în persoană unică care oferă gestionarea rețelei unui număr mic de firme locale se situează în obicei în alta categorie din perspectiva volumului decât un furnizor de servicii ICT la nivel național cu sute de angajați, chiar dacă ambii oferă în esență aceeași serviciu.
Legile naționale care transpun directiva — în Țările de Jos Legea privind securitatea cibernetică — elaborează în continuare aceste criterii, iar autoritatea de supraveghere publică orientări practice în acest sens. Noi urmărim aceste surse cu data în care le-am văzut, astfel încât puteți verifica când o indicație se bazează pe acestea.
Gestionare la distanță și acces la sistemele clienților: poziția în lanț
Chiar în cazul furnizării de servicii TIC, poziția în lanțul de aprovizionare este adesea punctul decisiv, independent de sector și dimensiune. Administrarea la distanță, accesul la rețelele clienților, gestionarea parolelor sau întreținerea unei aplicații critice pentru client — acestea sunt exact caracteristicile pe care un client le cântărește atunci când evaluează propriii furnizori. O entitate esențială sau importantă trebuie să poată demonstra că riscurile din lanțul de aprovizionare sunt identificate, iar un furnizor cu acces la sisteme se află în top pe acea listă, indiferent dacă acel furnizor apare sau nu pe lista de sectoare.
Aceasta explică de ce mulți furnizori de servicii TIC, deși nu sunt obligați în sine, primesc totuși o listă de verificare de securitate sau o cerință contractuală. Nu este o obligație juridică care se aplică direct asupra lor, ci o cerință practică care vine prin intermediul clientului — și care poate cu siguranță afecta contractul.
Subcontractanți: lanțul nu se oprește la dumneavoastră
Oricine lucrează la rândul său cu subcontractanți — un administrator de sisteme freelancer, o parte care furnizează găzduire, un helpdesk extern — transmite practic acea întrebare mai departe. Dacă clientul dumneavoastră dorește să știe cum este reglementat accesul la sisteme, este foarte probabil că veți pune aceeași întrebare propriilor dumneavoastră subcontractanți. Astfel, evaluarea lanțului de aprovizionare pătrunde mai profund în mai multe verigi, chiar dacă nimeni din acel lanț nu este supus în sine listei de sectoare.
Ce înseamnă aceasta pentru dosarul dumneavoastră
Indiferent dacă sunteți obligat în sine, dacă sunteți afectat doar prin lanț, sau niciunul dintre acestea, determină cum arată pregătirea dumneavoastră: un dosar complet cu măsuri de management al riscurilor, răspunsuri direcționate la liste de verificare de securitate de la clienți, sau deocamdată nici o acțiune. O prezentare generală a zece măsuri pe care obligația de management al riscurilor le așteaptă de la dumneavoastră, și cum se raportează acestea la ceea ce un client întreabă într-o listă de verificare, se găsește în explicația pentru fiecare subiect. Pentru întrebarea cum secria.eu ține la zi sursele și pe ce se bazează o indicație, este metodologia un bun punct de plecare, iar întrebări frecvente privind domeniul de aplicare al legii sunt colectate în prezentarea generală cu întrebări și răspunsuri.
Începeți cu verificarea NIS2 pentru a vedea dacă serviciul dumneavoastră intră în lista de sectoare, ce dimensiune conteaza și ce înseamnă poziția dumneavoastră în lanț — gratuit și fără cont.