NIS2 е европейската директива, която поставя изисквания за кибербезопасност в организациите от определени сектори. Дали директивата се прилага директно към вашето предприятие, зависи от две неща: секторът, в който работите, и размерът на вашето предприятие. Ако не попадате под тази комбинация, вероятно не сте пряка целева група на директивата, но това не означава, че NIS2 никога няма да ви засегне.
Много предприятия, които сами не попадат в обхвата, получават въпроси за кибербезопасност от клиент, който пък попада под NIS2. Този клиент трябва да докаже, че цялата му верига е достатъчно защитена, и затова изпраща въпросник на своите доставчици. В този случай директивата не се прилага към вас, но се прилага договорното договаряне, което вашият клиент свързва с нея.
Секторът и размерът определят преките задължения
Директивата се насочва към това, което назива "съществени" и "важни" субекти: организации в сектори като енергетика, транспорт, питейна вода, цифрова инфраструктура, банкови дейности и здравеопазване, допълнени от редица други сектори, посочени в самата директива. Освен това се прилагат критерии за размер, които могат да се различават по сектор и по категория. Малко монтажно предприятие без роля в един от тези сектори като правило не попада под преките действие на NIS2. Точният списък на секторите и начинът, по който държавите-членки са го преобразили в национално законодателство, ще намерите в официалния текст и при органа по надзор, определен в вашата страна; в Нидерландия това е Rijksinspectie Digitale Infrastructuur.
Също така извън сектора: въпросът на вашия клиент
Предприятие, което попада под NIS2, трябва, между другото, да преценява колко безопасни са организациите, с които работи. Това се нарича верижно риск или риск на доставчика, и директивата посочва това изрично като точка на внимание. На практика това се превежда в въпросник или договорна клауза при вашия клиент: имате ли контактно лице за инциденти, докладвате ли за нарушение на данни в определен период, имате ли уредено управление на достъпа. Това често са същите видове мерки като десетте, които самата директива посочва за предприятията, които пряко попадат под нея. Повече информация за това какво точно означават тези въпроси и как се отнасят към съществуващите задължения като GDPR, може да намерите в обяснението по тема в базата знания.
Как да проверите това за себе си
Дали NIS2 се прилага директно към вас, е фактически въпрос, който можете да отговорите най-добре на базата на официалния списък на секторите и критериите за размер, както са преобразувани в закона на вашата страна. Ако се съмнявате, компетентния орган по надзор или юрист е подходящата страна да преценят това; тази статия не може да замести тази преценка. Това, което можете бързо да проверите сами, е дали получавате сигнали, които сочат на косвена участие: клиент, който преди време е изпратил въпросник за кибербезопасност, договор, който се позовава на задължения за докладване, или обществена поръчка, в която се изискват мерки за защита. Това са практически указания, а не юридическа преценка.
Какво ако получите въпроси, независимо от преката задължение
Независимо дали пряко попадате под NIS2 или само косвено се справяте с последствията чрез клиент, самият въпросник се променя не много: вас се пита да опишете кои мерки сте предприели и да ги аргументирате. Това често се припокрива с това, което вече сте документирали за други цели, като управление на достъпа за GDPR или процедури при извънредни ситуации за непрекъснатост на бизнеса. Именно това припокриване прави, че предприятията трябва да предоставят отново и отново същите видове доказателства, всеки път в различен формат. Отговорите на често задавани въпроси за това как работят точно такива въпросници, ще намерите в често задаваните въпроси относно анкетите, и обяснение откъде идва информацията на този сайт е налично на страницата за начина, по който работи.
Няма институция, която да определи дали NIS2 се отнася за вашето предприятие; това остава преценка, която е при вас, вашия адвокат или надзорния орган. Какво можете да направите бързо, е да проверите дали сигналите, които разпознавате, отговарят на пряко или косвено участие. Ако искате да видите това ясно един до друг, можете да получите индикация в няколко въпроса за това къде стойте, или спокойно преминете през темите, които могат да се отнасят до вашата ситуация.