NIS2 i udlandet: er loven den samme i hvert EU-land?
Nej, ikke helt. NIS2 er et europæisk direktiv, og et direktiv fungerer anderledes end en forordning. En forordning som GDPR gælder direkte og ordret i alle medlemsstater. Et direktiv som NIS2 fastlægger et mål og en ramme, men hvert land skal selv implementere det i egen national lovgivning. Derfor kan de præcise regler, de anvendte vilkår og måden for tilsyn på variere fra land til land, selv om udgangspunktet er det samme overalt.
For en virksomhed, der leverer til kunder i flere lande, eller som selv har etablissementer i udlandet, betyder det, at et spørgeskema fra Tyskland kan bruge helt andre ord end et spørgeskema fra Frankrig eller Belgien, selv om begge går tilbage til det samme europæiske direktiv. Det, som hedder en obligatorisk foranstaltning i det ene land, kan falde under en lidt anderledes betegnelse i det andet land. Det er hverken fejl fra kundens side eller fra jeres side: det er følgen af, hvordan et direktiv juridisk fungerer.
Hvad forbliver det samme, hvad ændrer sig
Kernen i NIS2 er fastlagt på europæisk niveau: hvilke sektorer, der kan falde ind under direktivet, hvilken slags foranstaltninger inden for cybersikkerhed der forventes, og at der skal etableres en form for tilsyn. Det grundlag er det samme udgangspunkt i alle medlemsstater.
Det, der ændrer sig, ligger især i implementeringen. Hvert land udpeger sin egen tilsynsmyndighed med eget navn og egne arbejdsmetoder. Også måden, hvorpå en virksomhed skal anmelde sig selv på, den præcise formulering af forpligtelser og de nationale bødesystemer kan variere fra land til land. Nogle lande har derudover valgt at implementere direktivet bredere eller lidt strengere end det europæiske minimum, inden for det rum, som direktivet giver plads til.
Det betyder i praksis, at en nederlandsk underleverandør, der leverer til en tysk eller spansk aftagere, kan modtage et spørgeskema, der er opbygget lidt anderledes end et sammenligneligt nederlandsk spørgeskema. Det underliggende spørgsmål — kan du påvise, at du udfører noget inden for cybersikkerhed — er sædvanligvis sammenligneligt. Den form, som spørgsmålet stilles i, er det ikke altid.
Hvad det betyder for jeres eget kæedossier
For virksomhedsejeren, der besvarer samme slags spørgsmål dusin gange om året, er skelnen mellem den europæiske kerne og den nationale implementering især praktisk relevant. De bevis, som du fremlægger — en politik, et oversigt over foranstaltninger, en erklæring om adgangskontrol — kan i sin grundform forblive det samme, selv hvis spørgsmålsstillingen varierer fra land til land. Det er oversættelsen til aftageres format, der kan variere fra land til land, ikke nødvendigvis indholdet af det, du allerede har dokumenteret.
Det er også her, hvor et centralt kæjedossier viser sin værdi: dokumenter den underliggende information én gang, og anvend den igen for hvert spørgeskema, uanset hvilket land aftageren er beliggende i, eller hvilken national lov, der præcis ligger bag spørgsmålet. vidensbanken med forklaring pr. emne angiver for hvert emne, hvilken information der sædvanligvis bliver anmodet om, således at du ikke skal finde ud af, hvad der er anderledes for hvert land igen.
Om NIS2 i den nationale form i et bestemt land specifikt gælder for din virksomhed, og hvilke præcise forpligtelser, der følger heraf, står i lovgivningen i det pågældende land og hos den dertil udpegede tilsynsmyndighed. For den nederlandske situation kan du kontrollere det hos den kompetente tilsynsmyndighed eller en jurist, der er fortrolig med grænseoverskridende NIS2-spørgsmål; vi vurderer ikke den situation og udtaler os ikke om det.
Først se, hvor du cirka står
Hvis du er usikker på, om de spørgsmål om cybersikkerhed, som du modtager, hænger sammen med NIS2, eller blot stammer fra din egen klients politik, hjælper det at få et kort overblik først over, hvad der normalt bliver spurgt om og hvorfor. få en første indikation i et par spørgsmål viser, hvilke emner der kan være relevante for din situation, uden at det er en vurdering af din overholdelse.
For dem, der præcist vil vide, hvor informationen på supplia.eu kommer fra, og hvordan den vedligeholdes, er det forklaret på siden om, hvordan informationen bliver til. Hvis du efter læsningen stadig er i tvivl om en bestemt term eller situation, finder du yderligere forklaringer i de ofte stillede spørgsmål om spørgeskemaer og tilsyn.
Hvis du vil vide, hvordan denne slags landforskelle kommer til udtryk i praksis hos dine egne aftagere, skal du gøre den gratis quick-scan eller bladre gennem videnbanken. På denne måde ser du hurtigt, hvilke emner der vedrører dit firma, uden at du først skal søge al national lovgivning.