kako registriram svojo organizacijo kot subjekt, zavezanec po nis2

Registracija poteka prek nacionalnega nadzornega organa, ne prek te platforme

Registracija je samostojen, formalen korak: subjekt, ki je po Zakonu o kibernetski varnosti razvrščen kot bistveni ali pomembni, se sam prijavi pri pristojnem nadzornem organu prek portala, ki je za to namenjen. To se zgodi neodvisno od izpolnjevanja dokumentov politik ali uvedbe ukrepov — to je upravni korak, s katerim se organizacija pri nadzornem organu pojavi kot zavezana pravna oseba. Natančen postopek, trenutek, ko se to mora zgoditi, in katere podatke je treba priložiti, so opisani na kanalih samega nadzornega organa in v Zakonu o kibernetski varnosti.

Preden je registracija na delu, je smiselno ugotoviti, ali organizacija sploh spada v to kategorijo; kako vem, ali moje podjetje spada pod nis2 daje prvi vpogled, in razlika med obema kategorijama, ki ju je treba registrirati, je razložena na kakšna je razlika med bistveno in pomembno entiteto. Za tiste, ki enkrat vedo, da je registracija potrebna, je naslednje vprašanje ponavadi praktično: kaj mora biti že pripravljeno, preden se registracija poda, in kdo v organizaciji to naredi. To se prekriva z vzpostavitvijo dossierja obveznosti varnostnega standarda, v katerem se za vsak ukrep določi status in lastnik — glejte kdo mora biti v moji organizaciji odgovoren za ukrep. Ta platforma pripravi besedila in podatke za registracijo, vendar nikoli ne poda podatkov namesto stranke pri portalu nadzornega organa; to ostane vedno samostojen korak same organizacije.

Zakaj je registracijska obveznost ločena od obveznosti varnostnega standarda

Registracijska obveznost in obveznost varnostnega standarda sta dve različni obveznosti, ki ju Direktiva NIS2 nalaga bistvenim in pomembnim subjektom: člen 21(2) Direktive (EU) 2022/2555 opisuje deset ukrepov, ki skupaj tvorijo obveznost varnostnega standarda, medtem ko sta obveznost prijave in registracija posebej urejeni in sta v Sloveniji izvedeni v Zakonu o kibernetski varnosti. NCSC podaja usmeritve o tem, kako se obveznost varnostnega standarda in obveznost prijave v praksi nanašata drug na drugega, in nadzorni organ, pristojen za posamezen sektor, je tisti, pri katerem se sama registracija izvaja.