poate conducerea fi personal răspundătoare pentru încălcarea NIS2

Da, la entitățile esențiale conducerea poate fi trasă personal la răspundere

Pentru entitățile esențiale, articolul 21 alineatul 2 din Directiva NIS2 prevede posibilitatea ca persoanele cu funcții de conducere să fie în mod personal responsabile pentru aprobarea și supravegherea măsurilor de securitate cibernetică ale organizației lor. Aceasta nu este o chestiune secundară în directivă: conducerea trebuie să cunoască măsurile de gestionare a riscurilor, să le aprobe și să supravegheze în mod activ, nu doar să semneze un document de politică. Modul exact în care se implementează — care conducători, în ce condiții și cu ce consecințe — este completat în transpunerea națională, în Olanda Legea securității cibernetice.

Aceasta se referă direct la întrebare ce se întâmplă dacă o organizație nu respectă obligațiile NIS2: pe lângă măsuri care pot fi luate împotriva organizației în ansamblu, directiva se adresează prin această prevedere în mod specific conducătorului ca persoană fizică. Aceasta este o schimbare în comparație cu multe alte obligații de conformitate, unde persoana juridică este de obicei punctul de contact și conducerea rămâne la distanță. Pentru a face această responsabilitate concretă, ajută să se știe care sunt zece măsuri care trebuie luate conform NIS2 — deoarece aprobarea și supravegherea presupun că conducerea știe despre ce este vorba, nu doar că ceva a fost aprobat.

Baza acesteia: articolul 21 și legea națională

Fundamentul se află în articolul 21 alineatul 2 din Directiva (UE) 2022/2555, care dă statelor membre posibilitatea de a tine responsabili membrii conducerii entităților esențiale și importante pentru încălcări ale obligației de diligență. Implementarea precisă — pentru cine se aplică aceasta, în ce circumstanțe și cu ce consecințe — revine legiuitorului național; în Olanda aceasta este Legea securității cibernetice, iar NCSC oferă orientări privind modul în care obligația de diligență și obligația de raportare sunt implementate în practică. Pentru formularea exactă a prevederilor și statutul transpunerii olandeze, textul oficial este punctul de plecare.