Nekje prebral, da kazni NIS2 lahko dosežejo deset milijonov evrov ali dva odstotka prometa, in se sprašuješ, ali se lahko to zgodi tebi. Kratek odgovor: ti zneski so res v direktivi, vendar so namenjeni za subjekte kritične in pomembne infrastrukture — organizacije, ki same spadajo pod NIS2, z obveznostjo za upravljanje tveganj, obveznostjo registracije in obveznostjo prijave incidentov. Če tvoje podjetje ne spada v to skupino, vendar pa dobavljaš tako organizacijo, boste, potem boote ni tveganje, ki te je vredno zbuja.
Tveganje, ki te prej doseže, je bolj praktično in pride hitreje: odjemalec, ki sam spada pod obveznost upravljanja tveganj, mora oceniti svoje dobavljače. Če ne moreš odgovoriti na vprašalnik ali dokazati, da izpolnjuješ pogodbe, je posledica običajno ne boota, temveč izguba pogodbe. Ta postopek navadno traja tedne, ne leta.
Za tiste, za katere je boota res namenjena
Direktiva usmeri izvrševanje na organizacije, ki so same zavezane: subjekte kritične in pomembne infrastrukture iz prilog I in II. Za njih nacionalna zakonodaja — v Nizozemski Zakon o kibernetski varnosti — določa, kako nadzorni organ ukrepuje, če obveznost upravljanja tveganj ali obveznost prijave incidentov nista izpolnjeni. Če ti sam nisi zavezanec, vendar pa dobavljaš tak subjekt, nisi stranka v tem postopku izvrševanja. Direktivo sicer opazuješ, vendar prek pogodbenih zahtev svojega odjemalca, ne prek odločbe o globi na svoje ime. Če si negotov, ali tvoja organizacija sama spada pod zakonodajo, je to mogoče ugotoviti s nekaj vprašanji prek preverke, ki tvojo situacijo v nekaj korakih prikaže.
Kaj direktiva našteva pri zneskih
Direktiva sama našteva največje zneske za subjekte kritične in pomembne infrastrukture, z višjo mejo za subjekte kritične infrastrukture kot za subjekte pomembne infrastrukture. Vedno gre za višji od fiksnega zneska ali odstotka svetovnega letnega prometa — torej ne samodejno polni znesek pri vsaki kršitvi. Kako nadzorni organ v konkretnem primeru odtehtava in kateri znesek se dejansko določi, ni fiksno v direktivi in je odvisno od pristojnega nadzornega organa. Namen je narediti tam narekovanje; kaj direktiva in nacionalna zakonodaja natančno pravijo, lahko preberete prek uradnega besedila in objav nadzornega organa.
Zakaj pogodba pride prej kot boota
Postopek globe se praviloma začne šele po signalih, raziskavi in priložnosti za odpravo — to traja čas. Nabavni oddelek, ki pošlje vprašalnik o varnosti, tam ne čaka. Če odgovora ni ali je nepopoln, se naročilo pogosto preprosto dodeli drugemu dobavljaču ali dobiš rok za odpravo, ki ga moraš sam zapolniti. To razgovor s svojim odjemalcem za večino MKB-podjetij nudi bolj nujno kot vprašanje, ali kdaj sploh pride boota v pogled. Več o tem, kaj se natančno skriva za takim vprašalnikom, preberete v pregledu tem, ki so za vsako situacijo izbrane.
Kaj to pomeni, če si ketarsko prizadet
Če sam nisi zavezanec, vendar si dobavljač zavezane organizacije, vprašanje ni, ali je boota grožnja, ampak ali lahko dokažeš, da imaš zahtevane ukrepe v redu. To gre za dokazila, lastnika za vsak ukrep in odgovor, ki ga ne moraš vsakič znova izmisliti. Kdor to enkrat fiksira, naslednji vprašalnik odgovori z veliko manj dela. Pogosta vprašanja o tem, kaj se od tebe in kaj ne sme zahtevati, so zbrana na strani s pogosto zastavljanimi vprašanji.
Če si sam bistveni ali pomemben, boota šteje kot zadnja palica za vrati, vendar je obveznost upravljanja tveganj sama po sebi pravi posel: ukrepe sprejeti, dokumentirati in znati pokazati. Kako je to proces strukturiran in od kod so informacije na tej spletni strani, je razloženo na strani, ki razlaga, kako platforma deluje.
Želiš vedeti, ali tvoja organizacija sama spada pod NIS2 ali te zadeva le prek odjemalca? Naredi brezplačno NIS2-preverjko ali se najprej mirno preberi po znanski bazi — obe sta brez računa dostopni.