Registrácia pri regulačnom orgáne: ako to funguje?
Organizácie, ktoré podľa smernice NIS2 spadajú do kategórie podstatného alebo dôležitého subjektu, musia samy seba registrovať pri národnom regulačnom orgáne. Registrácia prebieha prostredníctvom portálu, ktorý si regulačný orgán na tento účel zriadi, s údajmi o vašej organizácii, vašich kontaktných osobách a službách, ktoré poskytujete. Neprídete o list, ktorý by vás na to upozorňoval: povinnosť zaregistrovať sa leží na samotnej organizácii, nie na regulačnom orgáne, aby vás našiel.
Toto posledné mnohých vedúcich prekvapuje. Pri iných povinnostiach — licencia, ročné hlásenie — často dostanete signál od samotného orgánu. Pri registračnej povinnosti podľa zákona o kybernetickej bezpečnosti to funguje opačne: regulačný orgán spočiatku nevie, ktoré organizácie podľa zákona spadajú do jeho pôsobnosti, a preto je závislý od vášho vlastného posúdenia a krokov.
Ktoré údaje sa požadujú
Registrácia zvyčajne žiada identifikačné údaje organizácie, ako je názov, registračné číslo a adresa, doplnené o sektor a činnosť, v ktorej podľa zákona spadáte. Okrem toho sa požadujú údaje o jednej alebo viacerých kontaktných osobách, ktoré by mohol regulačný orgán kontaktovať, s menom, telefónnym číslom a e-mailovou adresou — často ide o iné osoby ako štandardný obchodný kontakt, pretože ide o dostupnosť v prípade incidentu. Tiež sieťové a informačné systémy alebo služby, ktoré sú relevantné pre klasifikáciu ako podstatný alebo dôležitý subjekt, a niekedy aj členské štáty, v ktorých poskytujete služby, sú súčasťou obrazu, ktorý si chce regulačný orgán vytvoriť.
Presné polia a rozdelenie formulára sa líšia podľa krajiny, pretože každý členský štát transpozuje smernicu do vlastného národného právneho poriadku a regulačný orgán si zriadi portál sám. To, čo sa pýta na Slovensku, preto nemusí úplne zodpovedať tomu, čo regulačný orgán žiada v inej krajine od dcérskeho podniku tam.
Prečo neprichádza list
Registračná povinnosť je nastavená ako povinnosť organizácie, nie ako výzva od štátu. Regulačný orgán nemá na začiatku platnosti zákona úplný zoznam toho, kto kde pôsobí a pod ktorý prah spadá — tieto informácie musia pochádzať z vlastného sektora. Je to porovnateľné s tým, ako funguje registrácia v obchodnom registri alebo hlásenie DPH: zodpovednosť za včasné konanie leží na podnikateľovi, aj keď nikto neposúva pripomienku.
Pre mnohé malé a stredné podniky, ktoré sú zasiahnuté cez reťazec dodávateľov, ani neprichádza do úvahy: len podstatné a dôležité subjekty majú sama povinnosť registrácie. Podniky, ktoré dostanú len zoznam otázok o bezpečnosti od kupujúceho, ktorý podľa zákona spadá do jeho pôsobnosti, sa samy pri regulačnom orgáne neregistrujú. To, či vaša organizácia patrí do prvej alebo druhej skupiny, nie je vždy hneď jasné; v niekoľkých otázkach vidí, kde sa vaša organizácia nachádza poskytuje v tom prvý smer, s vysvetlením pre každý výsledok.
Kedy sa registrovať
Národný zákon určuje lehotu a okamih, od ktorého sa má organizácia zaregistrovať potem, čo sa kvalifikuje ako podstatný alebo dôležitý subjekt. Tieto lehoty sú uvedené v národnej transpozícii smernice a na webovej stránke samotného regulačného orgánu a môžu sa meniť, keď sa právne predpisy ďalej vyvíjajú. Aktuálny stav by ste mali zistiť u príslušného regulačného orgánu alebo právnika, nie u všeobecného článku — zmena webovej stránky alebo oznámenie regulačného orgánu sú v tomto bode určujúce, nie dátum, ktorý je niekde uložený.
Čo secria.eu robí a nerobí pri registrácii
Platforma vám pomáha pri príprave textu a údajov, ktoré potrebujete na vyplnenie registračného formulára: ktoré kontaktné osoby musíte poskytnúť, ktorý popis sektora a činnosti zodpovedá spôsobu, akým vás kategorizuje dohľadový orgán, a aké odôvodnenie stojí za kvalifikáciou. To, čo výslovne nerobí, je podávanie žiadostí v vašom mene. Vy sami podávate podanie prostredníctvom portálu svojho dohľadového orgánu; secria.eu pripravuje text, vy ho vložíte. Ako presne prebieha táto príprava a ktoré zdroje sa pritom používajú, je vysvetlené na stránke o tom, ako sa informácie vytvárajú.
Pochybnosti o vašej vlastnej situácii
To, či a kedy je registrácia pre vašu organizáciu relevantná, závisí od sektora, v ktorom pôsobíte, od veľkosti vašej organizácie a od národného zákona, ktorý sa na vás vzťahuje. Nie je to otázka, na ktorú by mohol odpovedať jeden všeobecný článok pre vašu špecifickú situáciu; na to je príslušný dohľadový orgán alebo právnik vhodným kontaktným miestom. Často kladené praktické otázky týkajúce sa registrácie, povinnosti hlásenia a úlohy dodávateľov sú zhromaždené na stránke s často kladanými otázkami.
Chcete si najskôr pozrieť prehľad všetkých tém okolo Smernice NIS2 a Zákona o kybernetickej bezpečnosti, od rozdelenia sektora až po desať povinných bezpečnostných opatrení? Nájdete ich, vypracované podľa vašej situácie, na stránke prehľadu so všetkými témami. A ak ešte neviete, či je registrácia pre vás relevantná, bezplatná rýchla kontrola je najrýchlejší prvý krok, aby ste si to ujasnil.