čo sa stane, ak nespĺňam povinnosti NIS2

Dohľad, náprava a napokon sankcia

Pri nedodržiavaní povinností vyplývajúcich z NIS2 nastáva v praxi najskôr dohľad a možnosť niečo opraviť, a až potom — ak sa tak nestane — sankcia od orgánu dohľadu. Zákon o kybernetickej bezpečnosti, slovenská transpozícia NIS2, poskytuje orgánu dohľadu nástroje na kontrolu, či organizácia spĺňa povinnosť starostlivosti a povinnosť nahlasovať. Ktorý orgán dohľadu to presne je, sa líši podľa sektora; to je uvedené na stránke o ktorý dohľadný orgán kontroluje môj sektor podľa NIS2. Pri nedostatkovnosti môže orgán dohľadu vydávať pokyny, ukladať záväzné pokyny, alebo v neskoršom štádiu pristúpiť k vynúteniu dodržiavania.

Čo to konkrétne znamená, závisí od toho, čo sa pokazí: chýbajú desať povinných opatrení z povinnosti starostlivosti, hlásenie prichádza neskoro alebo neprichádza vôbec, alebo nie je posúdený dodávateľský reťazec. Pre povinnosť nahlasovať platí, že existujú špecifické okolnosti, za ktorých sa musí nahlasovať; to je uvedené na stránke o kedy musím nahlásiť kybernetický incident dohľadnému orgánu. Pre povinnosť starostlivosti ide o rad opatrení, ktoré ako celok musia byť v poriadku, opisané na stránke o ktorých desať opatrení musím podľa NIS2 prijať. Takisto ide o samostatnú otázku, či sa vedenie môže osobne zodpovedať za porušenie, ktorá sa rieši zvlášť na stránke o zodpovednosť správcov za porušenie NIS2.

Právny základ v smernici a národnom zákone

Povinnosti, ktoré podliehajú dohľadu, pochádzajú z článku 21 smernice NIS2, ktorý stanovuje povinnosť starostlivosti s desiatimi opatreniami, a z povinnosti hlásenia, ktorá je od nej samostatná; Zákon o kybernetickej bezpečnosti tieto povinnosti transformuje do slovenskej právnej úpravy a upravuje aj právomoci dohľadného orgánu. Presná náplň dohľadu a sankcie vyplývajú z tohto národného zákona a z publikácií samotných dohľadných orgánov, vrátane NCSC.