Vzťahuje sa na moju spoločnosť smernica NIS2?
Určujú to dve veci: vaša odvetvie a vaša veľkosť. Ale existuje tretia skupina, ktorá na to nedopadá, a napriek tomu dostáva požiadavky.
Odvetvie a veľkosť, v tomto poradí
NIS2 je európska smernica o bezpečnosti sietí a informačných systémov. Vymedzuje osemnásť odvetví, rozdelených do dvoch príloh. Príloha I obsahuje odvetvia vysokej kritickosti: energetika, doprava, zdravotníctvo, pitná voda, digitálna infraštruktúra, verejná správa. Príloha II obsahuje ostatné kritické odvetvia, ako sú pošta, odpady, chémia, potravinárestvo, priemysel a poskytovatelia digitálnych služieb.
Ak sa vaše odvetvie neuverejňuje, nespadáte pod túto direkt ívu. Ak áno, počíta sa vaša veľkosť. Od približne päťdesiat zamestnancov alebo desať miliónov eur tržieb ste stredného podnikateľa a vzťahujú sa na vás záväzky. Ak ste väčší ako dvesto päťdesiat zamestnancov alebo päťdesiat miliónov tržieb a nachádzate sa v prílohe I, ste subjektom kritického významu a podliehate predchádzajúcemu dohľadu. Ostatní sú dôležité subjekty: rovnaká povinnosť starostlivosti, ale dohľad až ak je na to dôvod.
Tretia skupina, a tá je najväčšia
Prevážna väčšina organizácií, ktoré sa s tým stretávajú, sama nespadá pod túto direkt ívu. Dodávajú niekomu, kto tam patrí. Smernica totiž zaviaže subjekty, na ktoré sa vzťahuje, aby posúdili bezpečnosť svojich dodávateľov, a to pomocou zoznamov otázok a zmluvných požiadaviek.
Pre vás to znamená, že nemáte povinnosť registrácie, povinnosť hlásenia a pokuty. Ale máte klienta, ktorý chce odpoveď, a ak mu ju nemôžete poskytnúť, uzavre zmluvu inde. V praxi to zasiahne viac podnikov a rýchlejšie ako samotný zákon.
Výnimky, ktoré nesmú chýbať
Aj pod rozpočtom môžete byť povinní. Ak ste jediným poskytovateľom služby v členskom štáte, alebo ak by výpadok vašej služby mal veľké spoločenské dôsledky, váš dozorný orgán vás môže napriek tomu určiť. Poskytovatelia verejného elektronického komunikovania a poskytovateľ dôveryhodných služieb sem spadajú bez ohľadu na ich veľkosť.
Opačne sa vzťahuje aj niečo iné. Banky a finančné trhy prakticky spadajú pod DORA, smernica o digitálnej odolnosti pre finančný sektor. Tá sa uplatňuje ako špecifická úprava. Ak sa v tom vidíte, dajte sa o tom poradiť.
Často kladené otázky
Dostanem upozornenie, ak na to dopadnem?
Nie, a to je zrada. Nepríde žiadny list. Musíte si to zistiť sami a zaregistrovať sa sami u dozorného orgánu.
Čo ak to zle posúdim?
Omylne si myslieť, že tam nespadáte, je to najdrahší scenár: pokuty dosahujú až desať miliónov eur alebo dva percentá celosveteových tržieb a vedenie má osobnú zodpovednosť. Ak ste v pochybnosti, predpokladajte, že áno, a nechajte to overiť.
Vzťahuje sa to aj na moju zahraniční prevádzku?
Smernica sa vzťahuje na celú EU, ale povinnosti vznikajú prostredníctvom národného zákona každej krajiny, a tie nie sú všade rovnako pokročilé. Registrujete sa v krajine, kde máte sídlo; ak máte niekoľko lokalít, môže to byť na viacerých miestach.
Ide o vysvetlenie, nie o poradenstvo vzťahujúce sa na vašu konkrétnu situáciu. secria.eu vaši organizáciu neposúdila a neposkytuje záväzné vyjadrenie.