Kratek odgovor
Del IKT-storitev je s posebnim imenom naveden v seznamu sektorjev NIS2 in je lahko zato sam bistveno ali pomembno varnostno kritičen. Pomislite na ponudnike upravljanih storitev in upravljanih varnostnih storitev, ponudnike oblačnih storitev in podatkovnih centrov. Toda večina IKT-storitvenih ponudnikov — lokalni upravljavec omrežja, ponudnik oddaljenega vzdrževanja strežnikov, dobavitelj poslovne aplikacije — sama ne sodi pod seznam sektorjev. Pogosto pa so prizadeti, in sicer zato, ker je to njihovemu strancu zakonsko predpisano: bistveno ali pomembno varnostno kritična entiteta mora namreč ovrednotiti, kako varni so njeni dobavitelji, in IKT-storitveni ponudnik z dostopom do sistemov je za takšno oceno pravi izbor.
Glede na to, ali ste sami odgovorni ali pa ste prizadeti prek dobaviteljskega lanca, je torej odvisno od treh stvari skupaj: ali je vaša vrsta storitve na seznamu sektorjev, ali vaša organizacija dosega zahtevano velikost in kakšna je vaša dejanska vloga pri naročnikih, ki so sami odgovorni. Ta tri dejavniki skupaj določijo odgovor, pri čemer delujejo neodvisno drug od drugega — lahko dosežete velikost brez teh v ustreznem sektorju, ali pa ste točno v sektorju brez velike velikosti.
Kaj seznam sektorjev pravi o IKT-storitvah
Direktiva NIS2 loči sektorje z visoko kritičnostjo in druge kritične sektorje. V okviru digitalne infrastrukture in digitalne storitvene dejavnosti so zlasti navedeni ponudniki upravljanih storitev (managed service providers) in ponudniki upravljanih varnostnih storitev (managed security service providers), poleg oblačnih storitev, podatkovnih centrov in ponudnikov spletnih tržnic ter iskalnikov. Kdor spada pod enega izmed teh nazivov, gre skozi isto preizkušnjo kot kateri koli drugi sektor: ali se vaša storitev ujema z opisom v direktivi in, če je tako, v katero kategorijo sodi.
Podjetje, ki dovaja samo programsko opremo, gradi spletno mesto ali občasno izvaja IT-projekte brez stalnega upravljanja, se običajno ne uvršča pod to specifično opredelitev — čeprav je natančna razmejevanja stvar vaše lastne situacije, ne splošnega pravila. Če dvomite, katera opredelitev velja za vašo dejavnost, je to ena od točk, pri kateri v nekaj vprašanjih prveč osnovnega navedka vam pomaga, z navedkom na natančno lokacijo v Direktivi.
Velikost je enako pomembna kot sektor
Sektor sam po sebi ni dovolj, da bi bil subjekt kritični ali pomembni subjekt. NIS2 deluje s kriteriji velikosti, ki se ujemajo s standardo za srednja in velika podjetja: število zaposlenih in letni prihodek ali bilančna vsota vplivajo na določitev kategorije. Sole trader, ki ponuja upravljanje omrežja svečici lokalnih podjetij, se glede na velikost običajno razlikuje od ponudnika IT-storitev na nacionalni ravni s številnimi zaposlenimi, čeprav oba v bistvu nudita isto storitev.
Državni zakoni, ki prenesejo Direktivo — v Nizozemski Zakon o kibernetski varnosti — te kriterije dodatno razdelajo, nadzorni organ pa objavlja k temu praktična pojasnila. Te vire spremljamo z datumom, ko smo jih videli, da lahko vprasate, kadar je navedka temelji.
Upravljanje na daljavo in dostop do sistemov strank: položaj v verigali
Zlasti pri storitvah IKT je položaj v verigi pogosto odločujući dejavnik, neodvisen od sektorja in velikosti. Upravljanje na daljavo, dostop do omrežij strank, upravljanje gesel ali vzdrževanje aplikacije, ki je za stranko kritična — to so ravno lastnosti, ki jih stranke upoštevajo pri oceni lastnih dobaviteljev. Bistveni ali pomembni subjekt mora namreč dokazati, da so tveganja v dobaviteljski verigi pregledna, in dobavitelj z dostopom do sistemov je na tej seznamu visoko uvrščen, ne glede na to, ali je tak dobavitelj sam navedeni na sektorskem seznamu.
To pojasnjuje, zakaj številni ponudniki storitev IKT, čeprav sami niso dolžni spoštovati predpisov, vseeno prejmejo vprašalnik o varnosti ali pogoj v pogodbi. Ni to pravna dolžnost, ki bi neposredno spadala nanje, temveč praktični zahtevek, ki prihaja preko stranke — in ta zahtevek res lahko vpliva na pogodbo.
Podizvajalci: veriga se ne konča pri vas
Kdor sam dela s podizvajalci — prosti sistemski upravitelj, podjetje, ki zagotavlja gostovanje, zunanja tehnična pomoč — to vprašanje v praksi posreduje naprej. Če vaša stranka od vas želi vedeti, kako je urejen dostop do sistemov, je verjetno, da isto vprašanje postavite tudi svojim lastnim podizvajalcem. Na ta način se ocena dobaviteljev razširi na več členov verige, tudi če nihče v tej verigi sam ne spada pod sektorski seznam.
Kaj to pomeni za vaš dosier
Ali ste sami dolžni spoštovati predpise, so vas dosegli samo preko verige ali pa niste v nobenem primeru, določa, kako bo izgledala vaša priprava: popoln dosier z obveznostmi glede varnosti, natančni odgovori na vprašalnike strank ali zaenkrat nikakršnih ukrepov. Pregled desetih ukrepov, ki jih dolžnost glede varnosti od vas pričakuje, in kako se nanašajo na to, kar stranka v vprašalniku sprašuje, najdete v razlago po temah. Za vprašanje, kako secria.eu vodi izvore in na kaj je navedena indikacija oposlana, je delovni postopek dobra izhodišča, pogosta vprašanja o obsegu zakona pa so zbrana v pregledu vprašanj in odgovorov.
Začnite s preverjanjem NIS2, da vidite, ali je vaša storitev na sektorskem seznamu, kakšna velikost vpliva in kaj vaša položaj v verigi pomeni zase — brezplačno in brez računa.