Niekde ste čítali, že pokuty podľa NIS2 môžu dosiahnuť až desať miliónov eur alebo dva percentá z obratu, a pýtate sa, či sa vás to môže dotknúť. Krátka odpoveď: tieto sumy sú skutočne uvedené v smernici, ale sú určené pre kritické a dôležité subjekty — organizácie, ktoré sú samy podľa NIS2 povinné, s povinnosťou starostlivosti, povinnosťou registrácie a povinnosťou hlásenia. Ak vaša spoločnosť nepatrí medzi tieto subjekty, ale dodávate pre takúto organizáciu, pokuta nie je riziko, ktoré by vás malo trápiť.
Riziko, ktoré vás skôr zasiahne, je praktickejšie a príde rýchlejšie: kupujúci, ktorý sám podlieha povinnosti starostlivosti, musí posúdiť svojich dodávateľov. Ak neviete odpovedať na zoznam otázok alebo nedokážete preukázať splnenie zmluvných požiadaviek, dôsledkom zvyčajne nie je pokuta, ale strata zmluvy. Tento proces trvá často týždne, nie roky.
Pre tých, na ktorých je pokuta skutočne zameraná
Smernica orientuje presadzovanie práva na organizácie, ktoré sú samy povinné: kritické a dôležité subjekty z sektorov v prílohe I a II. Preň určuje národný zákon — na Slovensku zákon o kybernetickej bezpečnosti — ako dozorovateľ postupuje, ak nebola splnená povinnosť starostlivosti alebo povinnosť hlásenia. Ak nie ste sami povinní, ale dodávate takému subjektu, nie ste účastníkom tohto konania o presadzovaní práva. Smernicu budete cítiť, ale prostredníctvom zmluvných požiadaviek svojho kupujúceho, nie prostredníctvom rozhodnutia o pokute na vašu adresu. Ak si nie ste istí, či vaša organizácia sama podlieha zákonu, je to otázkou pár otázok kontrola, ktorá vašu situáciu zmapuje v niekoľkých krokoch.
Čo smernica spomína ako sumy
Smernica sama špecifikuje maximálne sumy pre kritické a dôležité subjekty, s vyšším stropom pre kritické subjekty ako pre dôležité. Vždy ide o vyšší z pevnej sumy alebo percenta z celosvetového ročného obratu — nie automaticky o plnú sumu pri každom porušení. Ako dozorovateľ v konkrétnom prípade zvažuje a aká suma sa skutočne uloží, nie je v smernici určené a je na príslušnom dozorovateľovi. Iný sme sa o tom zámerne nepoväčovali; čo presne hovoria smernica a národný zákon, môžete si prečítať v oficiálnom texte a v publikáciách dozorovateľa.
Prečo zmluva príde skôr ako pokuta
Konanie o pokute zvyčajne začína až po signáloch, vyšetrení a šanci na nápravu — to zaberie čas. Nákupné oddelenie, ktoré posiela zoznam bezpečnostných otázok, na to nečaká. Ak chýba odpoveď alebo je nekompletná, objednávka sa často jednoducho pridelí inému dodávateľovi, alebo dostanete lehotu na nápravu, ktorú si musíte splniť sami. To robí rozhovor so svojím kupujúcim pre väčšinu MKB podnikov naliehavejším ako otázka, či sa niekedy objaví pokuta. Viac o tom, čo presne stojí za takým zoznamom otázok, si môžete prečítať v prehľade tém, ktoré sú pre jednotlivé situácie spracované.
Čo to znamená, ak ste zasiahnutí v dodávateľskom reťazci
Ak nie ste sami povinní, ale ste dodávateľom povinnému subjektu, otázka nie je, či hrozí pokuta, ale či viete preukázať, že máte požadované opatrenia v poriadku. Ide o dôkazy, vlastníka pre každé opatrenie a odpoveď, ktorú nemusíte vymýšľať zakaždým. Kto si to raz zaznamenáme, odpovie na nasledujúci zoznam otázok s oveľa menšou námahou. Často kladené otázky o tom, čo sa od vás môže a nemôže požadovať, sú zhromaždené na stránke s často kladanými otázkami.
Ak ste sami kritickým alebo dôležitým subjektom, pokuta sa počítá ako posledný motivačný prostriedok, ale samotná povinnosť starostlivosti je skutočná práca: prijímať opatrenia, zaznamenávať ich a vedieť ich preukázať. Ako je tento proces štruktúrovaný a odkiaľ pochádzajú informácie na tejto stránke, je vysvetlené na stránke, ktorá vysvetľuje, ako platforma funguje.
Chcete vedieť, či vaša organizácia sama podlieha NIS2, alebo vás zasiahne iba prostredníctvom kupujúceho? Urobte bezplatnú NIS2-kontrolu, alebo si najskôr pozorne prečítajte knižnicu vedomostí — obe sú prístupné bez účtu.