Ali moje podjetje spada pod NIS2?
Dve stvari določata: vaš sektor in vaša velikost. Vendar obstaja tretja skupina, ki je izključena, a kljub temu dobi zahteve.
Sektor in velikost, v tem vrstnem redu
NIS2 je evropska direktiva o varnosti omrežnih in informacijskih sistemov. Določa osemnajst sektorjev, razdeljenih v dve prilogi. Priloga I zajema sektorje velike kritičnosti: energetika, promet, zdravstvo, pitna voda, digitalna infrastruktura, javna uprava. Priloga II zajema druge kritične sektorje, kot so pošta, ravnanje z odpadki, kemija, živilska industrija, proizvodnja in ponudniki digitalnih storitev.
Če vašega sektorja ni v seznamu, zanj ne veljate. Če je v seznamu, se upošteva vaša velikost. Od približno petdeset zaposlenih ali deset milijonov evrov prometa ste srednje velika organizacija in veljajo obveznosti. Če ste večji od dvesto petdeset zaposlenih ali petdeset milijonov prometa in ste v prilogi I, ste kritična entiteta in podlegате nadzoru vnaprej. Ostali ste pomembna entiteta: enaka skrbna dolžnost, a nadzor šele, če je za to razlog.
Tretja skupina, in ta je največja
Velika večina organizacij, ki se s tem srečuje, zanj ne veljajo. Dobavljajo komu, ki zanj velja. Direktiva namreč zavezuje subjekte, na katere se ne nanašajo omejitve, da ocenijo varnost svojih dobavljačev, in to počnejo s seznami vprašanj in zahtevami v pogodbah.
Za vas to pomeni brez registracijske dolžnosti, brez prijave obveznosti in brez kazni. Toda odjemalec bo želel odgovor, in pogodbo bo zaključil drugje, če je ne morete podati. V praksi to prizadene več podjetij in hitreje kot sam zakon.
Izjeme, ki jih ne smete spregledati
Tudi pod pragom lahko veljate. Če ste edini ponudnik storitve v državi članici ali bi prekinitev vaše storitve imela velike družbene posledice, vas lahko nadzorni organ vseeno označi. Ponudniki javnih elektronskih komunikacijskih storitev in ponudniki zaupanja veljajo za njo ne glede na velikost.
Obratno pa velja tudi nekaj. Banke in finančni trgi de facto podlegajo DORA, uredbi o digitalnem odporniku finančnega sektorja. Ta se uporablja kot posebna uredba. Če se v tem prepoznate, se za to posvetujte.
Pogosta vprašanja
Ali me obvestijo, če zanj veljam?
Ne, in to je pasti. Pisma ne bo. Sami morate ugotoviti in se sami registrirati pri nadzornem organu.
Kaj če napačno ocenim?
Napačna prepričanost, da zanj ne veljate, je najdražji scenarij: kazni dosegajo deset milijonov evrov ali dva odstotka svetovnega prometa, in vodstvo je osebno odgovorno. Dvomite li, predpostavite, da veljate, in preverite.
Ali to velja tudi za mojo tujino poslovalnico?
Direktiva velja v celotni EU, vendar obveznosti nastanejo prek nacionalnega zakona posamezne države, in ta niso povsod enako napredne. Registrirate se v državi, kjer ste ustanovljeni; če imate več poslovalnic, je to lahko na več mest.
To je razlaga, ne nasvet o vaši lastni situaciji. secria.eu ne ocenjuje vaše organizacije in ne daje zagotovil.