Cadrul meu de lucru se încadrează în NIS2?
Indiferent dacă întreprinderea dumneavoastră se încadrează în Directiva NIS2 depinde de două lucruri: sectorul în care sunteți activi și dimensiunea organizației dumneavoastră. Directiva desemnează în două anexe sectoare pe care le consideră importante pentru societate sau economie, de la energie și transport la infrastructura digitală și gestionarea apelor uzate. Dacă întreprinderea dumneavoastră se situează în cadrul unui asemenea sector și în limitele dimensionale pe care le utilizează directiva, atunci sunteți probabil dumneavoastră înșivă o entitate "esențială" sau "importantă", cu toate obligațiile aferente.
Dar răspunsul nu se oprește acolo. Mult mai multe întreprinderi se situează în afara sectorului și dimensiunii și primesc totuși cerințele: ca furnizor, instalator sau prestator de servicii al unei întreprinderi care este obligată. Acele organizații obligate trebuie să evalueze propria lor lanț de aprovizionare, și aceasta se traduce în chestionare și cerințe contractuale la adresa întreprinderilor care nu au niciodată nevoie să se înregistreze la o autoritate de supraveghere.
Sector: anexa I și II
Directiva enumeră în două anexe sectoare. Anexa I desemnează sectoarele considerate esențiale: printre altele, energia, transportul, serviciile bancare, apa potabilă, infrastructura digitală și administrația publică. Anexa II desemnează sectoare considerate importante, cum ar fi serviciile poștale și curiere, gestionarea deșeurilor, chimie, alimentație și anumite servicii digitale. O întreprindere de instalații, un furnizor de servicii IT sau o birou de consultanță nu apar de obicei după nume în acele anexe, dar descrierile sunt mai largi decât sugerează numele. Cine are îndoieli dacă activitatea sa se încadrează în uno dintre aceste sectoare, ar face bine să citească descrierea din textul oficial însuși, nu doar numele sectorului.
Dimensiune: când se iau în calcul întreprinderea dumneavoastră
Alături de sector, directiva privește dimensiunea organizației, cu clasificarea obișnuită a UE în mici, mijlocii și mari întreprinderi pe baza personalului și cifrei de afaceri sau totalului bilanțului. Pentru majoritatea sectoarelor se aplică: cu cât este mai mare întreprinderea, cu atât mai devreme se situează în perimetrul de aplicare. Există și excepții în care dimensiunea contează mai puțin, de exemplu atunci când o organizație este unicul furnizor al unui anumit serviciu într-o țară. Acele excepții sunt descrise cu precizie în directivă și în legea națională pe care se bazează; o estimare exactă pentru propria dumneavoastră situație revine dumneavoastră, juristului dumneavoastră sau autorității de supraveghere.
Cel mai mare grup se situează în afara și primește totuși cerințele
Porțiunea din directivă care atrage cea mai mare atenție se referă la obligația de diligență: organizațiile obligate trebuie să ia măsuri adecvate și, în acest context, trebuie să evalueze și furnizorii lor. Aceasta este exact ceea cu ce se confruntă cel mai mare grup de întreprinderi. O întreprindere de instalații care întreține sisteme de gestiune a clădirilor pentru o companie de energie, o companie de curățenie care lucrează pentru un spital, sau un partener IT al unei municipalități: niciunul dintre ei nu trebuie să se înregistreze singur, dar toți pot primi un chestionar. Aceasta se numește în practică adesea "afectat în lanț": nu vă încadrați dumneavoastră în directivă, dar un client care o face vă cere totuși să demonstrați că securitatea dumneavoastră este în regulă.
Indiferent dacă aceasta se aplică la întreprinderea dumneavoastră depinde de cine sunt clienții dumneavoastră și cât de important este serviciul dumneavoastră pentru ei. Aceasta este dificil de estimat fără o privire de ansamblu asupra sectorului, dimensiunii și rolului în lanț în același timp. În câteva întrebări vedeți unde se situează aproximativ întreprinderea dumneavoastră, cu o explicație de ce și o sugestie pentru pasul următor.
Instituții financiare: o reglementare separată
Băncile, asiguratorii și alte instituții financiare nu se încadrează în NIS2 ci sub o reglementare separată privind rezistența operațională digitală, orientată specific către sectorul financiar. Cine este activ în acel sector, de obicei recunoaște deja aceasta la prima întrebare de evaluare inițială privind sectorul.
Ce să faceți dacă răspunsul nu este clar
Sectorul și dimensiunea împreună oferă o bună primă indicație, dar granița precisă între "esențial", "important", "afectat în lanț" și "neafectat" necesită lucru adaptat. Baza de cunoștințe cu toate subiectele per situație oferă o explicație pentru fiecare concept și indică locația acestuia în textul oficial. Dacă după citire mai aveți îndoieli, un jurist sau autoritatea de supraveghere din țara dumneavoastră sunt partile desemnate pentru a evalua situația dumneavoastră specifică; secria.eu se abține intenționat de a se pronunța în această privință.
Doriți mai întâi să aflați de unde provin informațiile de pe această platformă și cum sunt menținute la zi? Citiți aici cum ține secria.eu seama de surse. Răspunsurile la întrebări practice despre utilizarea platformei se găsesc în prezentarea cu întrebări frecvente.
Răspunsul scurt la "se aplică directiva NIS2 întreprinderii mele" îl obțineți deci prin compararea în paralel a sectorului, mărimii și rolului în lanțul de aprovizionare. Efectuați verificarea gratuită și citiți baza de cunoștințe; vă vor oferi deja, fără cont, o imagine inițială și bine fundamentată a poziției în care se află întreprinderea dumneavoastră.