môže byť vedenie podniku osobne zodpovedné za porušenie NIS2

Áno, u podstatných subjektov môžu byť vedúci pracovníci osobne stíhaní

Pre podstatné subjekty stanový článok 21 bod 2 Smernice NIS2 možnosť, aby vedúci pracovníci boli osobne zodpovední za schválenie a dohľad nad opatreniami kybernetickej bezpečnosti svojej organizácie. Nejde o vedľajšiu záležitosť v Smernici: vedenie musí poznať opatrenia na riadenie rizík, schváliť ich a aktívne vykonávať ich dohľad, nie len podpísať politický dokument. Ako sa to presne uplatní — ktorí vedúci pracovníci, za akých podmienok a s akými dôsledkami — sa určuje pri národnej transpozícii, v Holandsku v Zákone o kybernetickej bezpečnosti.

To sa priamo dotýka otázky čo sa stane, ak organizácia nespĺňa povinnosti podľa NIS2— okrem opatrení, ktoré možno prijať voči organizácii ako celku, sa smernica v tomto ustanovení zameriava špecificky na vedúceho pracovníka ako fyzickú osobu. To je posun v porovnaní s mnohými inými povinnosťami v oblasti compliance, kde je právnická osoba zvyčajne kontaktným miestom a vedenie zostáva v pozadí. Aby bola táto zodpovednosť konkrétna, je užitočné vedieť ktorých desať opatrení sa musí podľa NIS2 prijať — pretože schválenie a dohľad predpokladajú, že vedenie vie, o čom ide, nie len to, že niečo bolo schválené.

Čo je základom: článok 21 a národný zákon

Základom je článok 21 bod 2 Smernice (EÚ) 2022/2555, ktorá umožňuje členským štátom, aby za porušenie povinnosti starostlivosti zodpovedali členov vedenia podstatných a dôležitých subjektov. Presné vyplnenie — na koho sa to vzťahuje, za akých okolností a s akými dôsledkami — je na národnom zákonodarcovi; v Holandsku je to Zákon o kybernetickej bezpečnosti a NCSC poskytuje pokyny, ako sa povinnosť starostlivosti a povinnosť hlásenia v praxi uplatňujú. Pre presné znenie určenia a stav holandskej transpozície je oficiálny text východiskom.