Ali je poslovodja osebno odgovoren pod NIS2?
Direktiva NIS2 ne ureja le tega, kaj mora organizacija tehnično in organizacijsko storiti, ampak se obrača tudi na vodstvo samo. Direktiva zahteva od vodilnih oseb, da odobrijo ukrepe za upravljanje tveganja, nadzirajo njihovo izvajanje in se pri tem usposabljajo. To je drugačna vloga kot vloga oddelka IT ali zunanjega ponudnika, in te vloge ni mogoče delegirati.
Ali to vodi tudi do osebne odgovornosti posameznega člana vodstva, je odvisno od nacionalnega zakona, ki direktivo preureja, in od širšega prava gospodarskih družb države, v kateri je organizacija registrirana. Na Nizozemskem je to urejeno s Cyberbeveiligingswetom in obstoječimi pravili o odgovornosti vodstva za neprikladno vodenje. Kaj je v tem točno določeno in kaj je še v razvoju, je najbolje obravnavati s pravnikom; ta članek opisuje osnovno smer, ne pa vaše individualne situacije.
Kaj direktiva zahteva od vodstva
Dolžnost skrbi, ki izhaja iz NIS2, je sestavljena iz dveh plasti, ki se dopolnjujeta. Prva plast je organizacija: deset ukrepov, ki sestavljajo kibernetski dosje, od nadzora dostopa do obravnave incidentov. Druga plast je vodstvo: poznati mora te ukrepe, jih odobriti in spremljati. To ne pomeni, da mora član vodstva tehniko razumeti v podrobnosti, ampak da ve, kakšna tveganja ima organizacija, katere odločitve so bile sprejete in ali se te odločitve upoštevajo. Kdor želi natančno vedeti, kateri ukrepi so vpleteni, najde pregled na pregled vseh tem NIS2.
Zakaj tega ni mogoče outsourcati
Običajno je, da organizacija izvajanje varnostnih ukrepov prepusti zunanjemu IT-ponudniku, upravljanem ponudniku storitev ali notranjemu specialistu za varnost. To je dovoljeno, za mnogo malih in srednje velikih organizacij je to tudi edina realistična pot. Direktiva pa razlikuje med izvajanjem in nošenjem odgovornosti. Ponudnik lahko upravlja požarni zid, nastavi politiko gesla ali zagotavlja varnostno kopijo; vodstvo ostaja tista oseba, ki mora dokazati, da ve, kaj se dogaja, in da se je za to zavestno odločilo. Pogodba s ponudnikom ureja izvajanje, ne pa vodstvene zavzetosti, ki jo zahteva direktiva.
To se dotika tudi teme dobavne verige. Organizacija, ki sama spada pod NIS2, mora nadzirati tveganja, ki jih prinaša ponudniki — zato MKB-podjetja prejemajo vprašalnike o varnosti od svojih naročnikov. Ista logika velja tudi interno: vodstvo nadzira, kaj počne lastna organizacija, tudi če je delo opravljeno drugje.
Kaj v praksi pomeni nadziranje
Nadziranje ni stvar enkratnega podpisovanja dokumenta. Direktiva govori o odobritvi ukrepov in o usposabljanju, kar nakazuje, da je to ponavljajoči se proces: periodično preverjanje, ali so ukrepi še primerni, ali so bili izvedeni in ali se je kaj spremenilo, kar zahteva prilagoditev. Za člana vodstva brez tehnične izkušnje je običajno najbolj praktična oblika stalni pregled: kateri so ukrepi, kaj je stanje, kdo je odgovoren in kateri dokaz se poveže s tem. Brez takega registra je nadziranje težko dokazati, četudi se je dejansko zgodilo.
Kaj vemo in kaj ne vemo z gotovostjo
Direktiva sama opisuje vlogo vodstva na evropski ravni; kako se to točno odseva v pravu odgovornosti, se razlikuje po državi, in nacionalna zakonodaja ni povsod končno sprejeta hkrati. Nadzorni organi o tem objavljajo svoje razlage, in te razlage se lahko spremenijo. To spremljamo po državi in po viru, z datumom, ko smo objavo videli; kako natančno deluje ta oblikovanje virov, je pojasnjeno na strani o tem, kako spremljamo vire. Za mnenje o odgovornosti določenega poslovodstva v določeni organizaciji ostaneta pravnik ali pristojni organ nadzora prava naslovnika.
Kaj lahko zabeležite
Čeprav ni popolne pravne gotovosti glede osebne odgovornosti, je mogoče opraviti praktično delo: zabeležiti, kateri ukrepi obstajajo, kdo jih upravlja in kdaj jih je uprava nazadnje obravnavala. Natanko za to je namenjen cyber-dossier — živi register namesto enkratnega poročila. Če želite najprej vedeti, ali vaša organizacija sama spada pod obveznost skrbnosti ali je prizadeta prek verige, daje brezplačna NIS2-preverka na to v nekaj vprašanjih prvo indicijo s pojasnitvijo zakaj.
Začnite tam, kjer ste sedaj: si oglejte brezplačno NIS2-preverko ali prebrskajte bazo znanja, da vidite, kateri predmeti so za vašo organizacijo pomembni.