kaj se zgodi, če ne izpolnjujem zahtev nis2

Nadzor, sanacija in na koncu sankcija

Če ne upoštevate obveznosti NIS2, v praksi najprej pride do nadzora in možnosti za sanacijo, šele nato — če to ne poteka — do sankcije nadzornega organa. Zakon o kibernetski varnosti, nizozemska prenos NIS2, daje nadzornemu organu orodja za preverjanje, ali organizacija izpolnjuje obveznost skrbi in obveznost prijave. Kateri nadzorni organ je to natančno, se razlikuje glede na sektor; to je navedeno na strani o kateri nadzorni organ nadzira moj sektor po nis2. V primeru pomanjkljivosti lahko nadzorni organ da navodila, uvede obvezne ukaze ali pa se v kasnejši fazi poslužuje izvršilnih ukrepov.

To, kaj to konkretno pomeni, je odvisno od tega, kaj se zgodi: pomanjkanje desetih obveznih ukrepov iz obveznosti skrbi, prijava, ki prihaja prekasno ali je ni, ali dobaviteljska veriga, ki ni bila ocenjena. Za obveznost prijave veljajo posebna utemeljenja, ob katerih je treba prijaviti; to je navedeno na strani o kdaj moram o kibernetskem incidentu obvestiti nadzorni organ. Za obveznost skrbi gre za vrsto ukrepov, ki morajo biti v redu kot celota, opisani na strani o katerih deset ukrepov moram sprejeti po nis2. Obstaja tudi ločeno vprašanje, ali se lahko direkcija osebno pozove ob kršitvi, kar se posebej obravnava na strani o odgovornost vodilnih oseb pri kršitvi NIS2.

Pravna podlaga v Direktivi in v nacionalnem zakonu

Obveznosti, na katere se nadzor osredotoča, izhajajo iz člena 21 Direktive NIS2, ki določa skrbnost z desetimi ukrepi, ter iz obveznosti za poročanje, ki je od tega ločena; Zakon o kibernetski varnosti te obveznosti preslika v slovensko pravo in pri tem tudi ureja pristojnosti nadzornega organa. Natančna vsebina nadzora in sankcije izhajajo iz tega nacionalnega zakona in iz objav nadzornih organov, vključno z NCSC.