ktoré sektory podliehajú smernici NIS2

Jedenásť sektorov s vysokým rizikom, sedem z nich

Smernica NIS2 pracuje so zoznamom sektorov rozdelených do dvoch príloh. Príloha I uvádza sektory s najvyšším rizikom: energetika, doprava, bankový sektor, pitná voda, odpadná voda, digitálna infraštruktúra, verejná správa, zdravotníctvo, letectvo a vesmírny priemysel a niekoľko ďalších. Organizácie v nich môžu byť v závislosti od ich veľkosti klasifikované ako dôležité subjekty. Príloha II uvádza sektory považované za významné: poštové a kuriérske služby, nakladanie s odpadom, chémia, potravinárenstvo, výroba určitých tovarov, poskytovatelia digitálnych služieb a výskum. Obe prílohy sú začlenené do Zákona o kybernetickej bezpečnosti, slovenskej transpozície tejto smernice.

Sektor nie je jediným kritériom. V rámci týchto sektorov sa zohľadňuje aj veľkosť organizácie — počet zamestnancov a ročný obrat hrajú úlohu pri určovaní, či je niečo klasifikované ako dôležité, významné, alebo dotknuté vôbec. Okrem toho existuje skupina, ktorá sa nenachádza v prílohách, ale s následkami sa stretáva: dodávatelia dôležitému alebo važnému subjektu, ktorí prostredníctvom povinnosti starostlivosti svojho klienta dostávajú otázníky bezpečnosti a zmluvné požiadavky bez toho, aby sami boli zaviazaní. Kto chce vedieť čo sa presne zmení v dôsledku národného zákona nájde tam preklad týchto príloh do slovenskej legislatívy. Finančné inštitúcie sú výnimkou: podliehajú inej európskej regulácii a nie pod smernicou NIS2.

Na čom je to založené: prílohy smernice

Klasifikácia sektorov vychádza z príloh Smernice (EÚ) 2022/2555, ktoré vymedzujú rozsah povinnosti starostlivosti a povinnosti hlásenia — desať opatrení z článku 21 ods. 2 sa vzťahuje na tých, ktorí spadajú do tohto rozsahu. Zákon o kybernetickej bezpečnosti preberá túto klasifikáciu pre slovenskú situáciu, pričom Národný úrad na ochranu osobných údajov (NÚSW) je zdrojom informácií o praktickom aspekte povinnosti starostlivosti a povinnosti hlásenia. Kto chce vedieť, či jeho vlastná organizácia skutočne spadá pod NIS2, môže to ďalej preskúmať prostredníctvom kontroly, či podnik spadá pod NIS2, a kto váha medzi dvoma stavmi v rámci príloh, nájde vysvetlenie v rozdiele medzi dôležitým subjektom a významným subjektom.