Krátka odpoveď
Časť poskytovania ICT služieb je výslovne uvedená v zozname sektorov NIS2 a môže sa tak stať samotná existenciálne kritickou alebo dôležitou entitou. Ide napríklad o poskytovateľov spravovaných služieb a spravovaných bezpečnostných služieb, poskytovateľov cloudových služieb a dátových centier. Ale väčšina poskytovateľov ICT služieb — lokálny správca sietě, spoločnosť poskytujúca vzdialenú správu serverov, dodávateľ podnikateľskej aplikácie — sama nespadajú pod zoznam sektorov. Často sú však postihnutí nepriamo, a to preto, lebo na to ich zákazník právne zavdzávame sú povinní. Existenciálne kritické alebo dôležité entity si totiž musia overiť, aké bezpečné sú ich dodávatelia, a ICT poskytovateľ s prístupom k systémom je pre také posúdenie samozrejmým kandidátom.
Či ste sami povinní alebo ste postihnutí cez dodávateľský reťazec, závisí teda na troch faktoroch vedľa seba: je váš typ služby uvedený v zozname sektorov, dosahuje vaša organizácia potrebnú veľkosť, a aká je vaša skutočná úloha pri zákazníkoch, ktorí sú sami povinní. Tieto tri faktory spolu určujú odpoveď a pôsobia nezávisle na sebe — môžete dosiahnuť veľkosť bez toho, aby ste boli v správnom sektore, alebo byť presne v sektore bez potrebnej veľkosti.
Čo zoznam sektorov hovorí o poskytovaní ICT služieb
Smernica NIS2 rozlišuje medzi sektormi vysokej kritickosti a ostatnými kritickými sektormi. V rámci digitálnej infraštruktúry a digitálnych služieb sú okrem iného výslovne uvedení poskytovatelia spravovaných služieb (managed service providers) a poskytovatelia spravovaných bezpečnostných služieb (managed security service providers), popri službach cloud computingu, dátových centrách a poskytovateľoch online tržísk a vyhľadávačov. Ktokoľvek spadá pod jednu z týchto kategórií, prechádza tým istým testom ako ktorýkoľvek iný sektor: zodpovedá vlastná služba opisu v smernici a ak áno, pod ktorú kategóriu.
Kto poskytuje iba softvér, buduje webovú stránku alebo vykonáva ojedinelé IT projekty bez prebiehajúcej správy, zvyčajne nespadá pod túto špecifickú definíciu — hoci presné vymedzenie zostáva záležitosťou vašej konkrétnej situácie, nie všeobecného pravidla. Ak si nie ste istí, ktorá definícia sa vzťahuje na vašu službu, je to jeden z bodov, kde niekoľko otázok vám pomôže získať prvotný prehľad s odkazom na presné miesto v smernici.
Veľkosť sa počíta rovnako ako sektor
Sektor sám osebe nestačí na to, aby ste boli existenciálne kritickou alebo dôležitou entitou. NIS2 pracuje s kritériami veľkosti, ktoré sa zhodujú so štandardnou klasifikáciou stredných a veľkých podnikov: počet zamestnancov a obrat alebo celkový bilančný súčet sa podieľajú na určení kategórie. Jednočlánková spoločnosť ponúkajúca správu sietě hrstke miestnych podnikov zvyčajne spadá z hľadiska veľkosti do inej kategórie ako národný ICT poskytovateľ so stovkami zamestnancov, aj keď oba v podstate ponúkajú rovnakú službu.
Národné zákony, ktoré prevádzajú smernicu — v Holandsku to je Zákon o kybernetickej bezpečnosti — tieto kritériá ďalej rozpracovávajú a dozorný orgán k nim publikuje praktické vysvetlenie. My sledujeme tieto zdroje s údajom o dátume, kedy sme ich videli, aby ste mohli skontrolovať, kedy bola indicíka založená.
Vzdialená správa a prístup k zákazníckym systémom: pozícia v dodávateľskom reťazci
Práve pri poskytovaní ICT služieb je postavenie v reťazci dodávateľov často rozhodujúcim faktorom, nezávisle od sektora a veľkosti. Vzdialená správa, prístup k sieťam klientov, správa hesiel alebo údržba aplikácie, ktorá je pre klienta kritická — to sú presne tie charakteristiky, ktoré klient zvažuje pri hodnotení svojich vlastných dodávateľov. Podstatná alebo dôležitá entita musí totiž vedieť preukázať, že riziká v reťazci dodávateľov sú identifikované, a dodávateľ s prístupom k systémom je potom vysoko na tomto zozname, bez ohľadu na to, či daný dodávateľ sám figuruje v zozname sektorov.
To vysvetľuje, prečo mnoho poskytovateľov ICT služieb bez toho, aby sami boli povinní dodržiavať povinnosti, dostávajú bezpečnostný dotazník alebo zmluvnú požiadavku. Nejde o právnu povinnosť, ktorá na nich priamo leží, ale o praktickú požiadavku, ktorá prichádza prostredníctvom klienta — a ktorá možno naozaj ovplyvní zmluvu.
Subdodávatelia: reťazec nekončí u vás
Ak sami pracujete s subdodávateľmi — freelance správcom systémov, subjektom, ktorý poskytuje hosting, eksterne helpdeskom — v praxi túto otázku ďalej posúvate. Ak váš klient od vás chce vedieť, ako je usporiadaný prístup k systémom, je pravdepodobné, že vám sami túto otázku položíte svojim vlastným subdodávateľom. Takto sa hodnotenie v reťazci dostáva hlboko do viacerých zväzkov, aj keď nikto v tomto reťazci sám nepatrí pod zoznam sektorov.
Čo to znamená pre vás a váš dossier
Či ste sami povinní dodržiavať povinnosti, ste dotknutí len prostredníctvom reťazca, alebo ani jedno z toho, určuje, ako bude vyzerať vaša príprava: úplný dossier so záväzkami správy, cielené odpovede na dotazníky od klientov, alebo zatiaľ žiadne opatrenie. Prehľad desiatich opatrení, ktoré záväzky správy od vás očakávajú, a ako sa vzťahujú na to, čo klient pýta v dotazníku, nájdete v vysvetlivke k jednotlivým témam. Pri otázke, ako secria.eu spravuje zdroje a na čom je odôvodnené uvedenie, je postup práce dobrým východiskom, a často kladené otázky o rozsahu zákona sú zbierané v prehľade otázok a odpovedí.
Začnite s kontrolou NIS2, aby ste zistili, či vaša poskytovateľská činnosť figuruje v zozname sektorov, aká veľkosť sa zohľadňuje a čo vaše postavenie v reťazci pre vás znamená — bezplatne a bez konta.