NIS2 je evropská směrnice, která stanovuje požadavky na kybernetickou bezpečnost v organizacích v určitých odvětvích. To, zda se směrnice přímo vztahuje na váš podnik, závisí na dvou věcech: odvětví, v němž působíte, a velikosti vaší firmy. Pokud nespadáte pod tuto kombinaci, nejste pravděpodobně přímou cílovou skupinou směrnice, ale to neznamená, že vás NIS2 nikdy nedotkne.
Mnoho podniků, které samy nespadají do oblasti působnosti, přesto dostane otázky o kybernetické bezpečnosti od zákazníka, který je pod NIS2 pokryt. Tento zákazník musí prokázat, že je jeho celý řetězec dostatečně zabezpečen, a proto rozesílá dotazník svým dodavatelům. V tom případě se na vás směrnice nevztahuje, ale vztahuje se na vás smluvní dohoda, kterou váš zákazník připojuje.
Odvětví a velikost určují přímou povinnost
Směrnice se zaměřuje na tzv. "podstatné" a "důležité" subjekty: organizace v odvětvích, jako je energetika, doprava, pitná voda, digitální infrastruktura, bankovnictví a zdravotnictví, doplněné o další odvětví, která jsou sama uvedena ve směrnici. Kromě toho platí kritéria velikosti, která se mohou lišit podle odvětví a kategorie. Malé instalatérské podnikání bez role v některém z těchto odvětví v pravidlu nespadá pod přímou působnost NIS2. Přesný seznam odvětví a způsob, jakým jej členské státy zapsaly do národní legislativy, naleznete v oficiálním textu a u orgánu dohledu, který je v zemi určen; v Nizozemsku je to Rijksinspectie Digitale Infrastructuur.
Také mimo sektor: dotaz od vašeho klienta
Podnik, na který se NIS2 vztahuje, musí mimo jiné zhodnotit, jak bezpečné jsou organizace, se kterými spolupracuje. Tomu se říká riziko řetězce nebo riziko dodavatele a směrnice to výslovně zmiňuje jako bod pozornosti. V praxi se to promítá do dotazníku nebo smluvního ujednání u vašeho klienta: máte kontaktní osobu pro incidenty, hlásíte porušení ochrany dat v určité lhůtě, máte zavedenu kontrolu přístupu. Často se jedná o stejný druh opatření jako deset opatření, která sama směrnice zmiňuje pro podniky, na které se vztahuje přímo. Více o tom, co tyto otázky přesně znamenají a jak se vztahují k existujícím povinnostem, jako je GDPR, si přečtete v vysvětlení podle tématu ve znalostní bázi.
Jak si to ověřit sami
Zda se na vás NIS2 vztahuje přímo, je faktická otázka, kterou si nejlépe zodpovíte na základě oficiálního sektorového rozdělení a kritérií velikosti, jak jsou transponována ve vaší zemi. Pokud máte pochybnosti, příslušný dohledový orgán nebo právník je vhodná strana k provedení tohoto posouzení; tento článek jej nemůže nahradit. Co si sami můžete rychle ověřit, je, zda dostáváte signály svědčící o nepřímém zapojení: klient, který právě odeslal dotazník o kyberbezpečnosti, smlouva odkazující na hlášení povinnosti, nebo veřejné obchodování, ve kterém se požadují bezpečnostní opatření. To jsou praktické náznaky, nikoli právní posouzení.
Co když dostáváte otázky, bez ohledu na přímou povinnost
Ať už se na vás NIS2 vztahuje přímo, nebo se s jeho důsledky setkáváte pouze prostřednictvím klienta, samotný dotazník se příliš nemění: budete požádáni popsat, jaká opatření jste přijali, a to zdůvodnit. To se často překrývá s tím, co jste již zaznamenali pro jiné účely, jako je kontrola přístupu pro GDPR nebo nouzové postupy pro kontinuitu provozu. Je právě toto překrývání, které způsobuje, že podniky musí opakovaně poskytovat stejný druh dokumentů, jen v jiném formátu. Odpovědi na často kladené otázky o tom, jak přesně tyto seznamy fungují, najdete v často kladené otázky o dotaznících, a vysvětlení, odkud informace na tomto webu pocházejí, najdete na stránce o tom, jak to funguje.
Neexistuje žádný orgán, který by za vás stanovil, zda se NIS2 na vaši společnost vztahuje; to zůstává hodnocením, které je na vás, vašem právníkovi nebo dozorčím úřadu. Co však můžete rychle udělat, je ověřit si, zda se signály, které rozpoznáváte, shodují s přímým nebo nepřímým zapojením. Chcete-li to vidět přehledně vedle sebe, můžete v několika otázkách získat náznak, kde se nacházíte, nebo si v klidu projít témata, která se na vaši situaci mohou vztahovat.