ali lahko upravni odbor osebno odgovarja za kršitev nis2

Da, pri bistvenih entitetah se lahko vodstvo osebno poziva k odgovornosti

Za bistvene entitete predvideva člen 21 odstavek 2 Direktive NIS2 (EU) 2022/2555 možnost, da se vodilni delavci osebno držijo odgovorni za odobritev in nadzor ukrepov za kibernetsko varnost v njihovi organizaciji. To ni stranska zadeva v direktivi: vodstvo mora poznati ukrepe za obvladovanje tveganja, jih odobriti in aktivno nadzirati, ne le podpisati politični dokument. Kako se to natanko izvaja — kateri vodje, pod kakšnimi pogoji in s kakšnimi posledicami — je napolnjeno v nacionalno transpozicijo, na Nizozemskem zakon o kibernetski varnosti.

To se neposredno dotika vprašanja kaj se zgodi, če organizacija ne izpolnjuje obveznosti NIS2: poleg ukrepov, ki jih je mogoče sprejeti proti organizaciji kot celoti, se direktiva s to določbo osredotoča posebno na vodjo kot fizično osebo. To je premik glede na mnoge druge obveznosti skladnosti, kjer je praviloma pravna oseba stična točka in vodstvo ostaja na razdalji. Da bi to odgovornost konkretizirali, je koristno vedeti kateri deset ukrepov je treba sprejeti po NIS2 — ker odobritev in nadzor predpostavljata, da vodstvo ve, o čem gre, ne le to, da je kaj odobreno.

Podlaga za to: člen 21 in nacionalni zakon

Osnova je v členu 21 odstavek 2 Direktive (EU) 2022/2555, ki daje članicam možnost, da članove uprave bistvenih in pomembnih entitet držijo odgovorne za kršitve dolžnosti skrbi. Natančna opredelitev — za koga to velja, pod kakšnimi pogoji in s kakšnimi posledicami — je prepuščena nacionalnemu zakonodajalcu; na Nizozemskem je to zakon o kibernetski varnosti, NCSC pa daje svetovanje o tem, kako se dolžnost skrbi in dolžnost poročanja v praksi uresničujeta. Za natančno besedilo določbe in status nizozemske transpozicije je uradni tekst izhodišče.