Η NIS2 είναι η ευρωπαϊκή οδηγία που θέτει απαιτήσεις για την κυβερνοασφάλεια σε οργανισμούς σε ορισμένους τομείς. Το κατά πόσον η οδηγία ισχύει άμεσα για την επιχείρησή σας εξαρτάται από δύο πράγματα: τον τομέα στον οποίο δραστηριοποιείστε και το μέγεθος της επιχείρησής σας. Εάν δεν εμπίπτετε σε αυτό το συνδυασμό, τότε πιθανώς δεν είστε άμεσα στόχος της οδηγίας, αλλά αυτό δεν σημαίνει ότι η NIS2 δεν θα σας επηρεάσει ποτέ.
Πολλές επιχειρήσεις που δεν εμπίπτουν στο πεδίο εφαρμογής, ωστόσο λαμβάνουν ερωτήσεις σχετικά με την κυβερνοασφάλεια από έναν πελάτη που εμπίπτει στην NIS2. Ο πελάτης αυτός πρέπει να αποδείξει ότι ολόκληρη η αλυσίδα του είναι επαρκώς προστατευμένη, και γι' αυτό στέλνει ένα ερωτηματολόγιο στους προμηθευτές. Στην περίπτωση αυτή, η οδηγία δεν ισχύει για εσάς, αλλά ισχύει η συμβατική συμφωνία που ο πελάτης σας συνδέει με αυτήν.
Ο τομέας και το μέγεθος καθορίζουν την άμεση υποχρέωση
Η οδηγία απευθύνεται σε αυτά που ονομάζει «απαραίτητες» και «σημαντικές» οντότητες: οργανισμοί σε τομείς όπως η ενέργεια, οι μεταφορές, το πόσιμο νερό, η ψηφιακή υποδομή, η τραπεζική και η υγειονομική περίθαλψη, συμπληρωμένη με μια σειρά άλλων τομέων που αναφέρονται στην ίδια την οδηγία. Επιπλέον, ισχύουν κριτήρια μεγέθους, που μπορούν να διαφέρουν ανά τομέα και κατηγορία. Ένα μικρό εγκαταστάσιμο επιχείρηση χωρίς ρόλο σε έναν από αυτούς τους τομείς συνήθως δεν εμπίπτει στο άμεσο πεδίο εφαρμογής της NIS2. Τη λεπτομερή κατάταξη τομέων και τον τρόπο με τον οποίο τα κράτη μέλη την έχουν μεταφέρει στη εθνική νομοθεσία, θα βρείτε στο επίσημο κείμενο και στην αρμόδια αρχή που έχει οριστεί στη χώρα σας. στις Ολλανδίες αυτή είναι η Rijksinspectie Digitale Infrastructuur.
Επίσης εκτός τομέα: το ερώτημα του πελάτη σας
Μια επιχείρηση που εμπίπτει στην NIS2 πρέπει, μεταξύ άλλων, να εκτιμήσει πόσο ασφαλείς είναι οι οργανισμοί με τους οποίους συνεργάζεται. Αυτό ονομάζεται κίνδυνος αλυσίδας ή κίνδυνος προμηθευτή, και η οδηγία το αναφέρει ρητώς ως σημείο προσοχής. Στην πράξη, αυτό μεταφράζεται σε ένα ερωτηματολόγιο ή μια συμβατική ρήτρα στον πελάτη σας: έχετε ένα σημείο επικοινωνίας για περιστατικά, αναφέρετε μια διαρροή δεδομένων εντός ορισμένης προθεσμίας, έχετε ρυθμίσει τον έλεγχο πρόσβασης. Αυτές είναι συχνά οι ίδιες Sort μέτρων όπως τα δέκα που η ίδια η οδηγία αναφέρει για τις επιχειρήσεις που εμπίπτουν άμεσα υπό αυτήν. Περισσότερα σχετικά με το τι σημαίνουν ακριβώς αυτές οι ερωτήσεις και πώς σχετίζονται με υφιστάμενες υποχρεώσεις όπως το GDPR, διαβάστε σε την εξήγηση ανά θέμα στη βάση γνώσης.
Πώς να το ελέγξετε για τον εαυτό σας
Το αν η NIS2 ισχύει άμεσα για εσάς είναι ένα ζήτημα γεγονότων που μπορείτε καλύτερα να απαντήσετε με βάση την επίσημη κατάταξη τομέων και τα κριτήρια μεγέθους όπως έχουν μεταφερθεί στη χώρα σας. Εάν αμφιβάλλετε, η αρμόδια αρχή ή ένας νομικός είναι το κατάλληλο άτομο για να το κρίνει· το άρθρο αυτό δεν μπορεί να αντικαταστήσει αυτή την εκτίμηση. Αυτό που μπορείτε να ελέγξετε γρήγορα μόνοι σας, είναι αν λαμβάνετε σήματα που δείχνουν έμμεση συμμετοχή: ένας πελάτης που μόλις έστειλε ένα ερωτηματολόγιο για την κυβερνοασφάλεια, ένα συμβόλαιο που αναφέρεται σε υποχρεώσεις ανάφορας, ή μια δημοπρασία στην οποία ζητούνται μέτρα ασφαλείας. Αυτά είναι πρακτικά σημεία, όχι νομικό κρίμα.
Τι γίνεται αν λάβετε ερωτήσεις, ανεξάρτητα από την άμεση υποχρέωση
Είτε εμπίπτετε άμεσα στην NIS2 είτε μόνο έμμεσα μέσω ενός πελάτη με τις συνέπειες, το ίδιο το ερωτηματολόγιο δεν αλλάζει πολύ: σας ζητείται να περιγράψετε ποια μέτρα έχετε λάβει και να το τεκμηριώσετε. Αυτό συχνά επικαλύπτεται με αυτά που έχετε ήδη τεκμηριώσει για άλλους σκοπούς, όπως τον έλεγχο πρόσβασης για το GDPR ή τις διαδικασίες έκτακτης ανάγκης για τη συνέχεια της επιχείρησης. Είναι αυτή η επικάλυψη που κάνει τις επιχειρήσεις να πρέπει να ανταποδώσουν το ίδιο είδος αποδεικτικών στοιχείων ξανά και ξανά, σε ένα διαφορετικό σχήμα κάθε φορά. Απαντήσεις σε συχνές ερωτήσεις σχετικά με το πώς λειτουργούν ακριβώς αυτού του είδους τα ερωτηματολόγια, θα βρείτε σε οι συχνές ερωτήσεις σχετικά με ερωτηματολόγια, και μια επεξήγηση σχετικά με το πού προέρχονται οι πληροφορίες σε αυτόν τον ιστότοπο βρίσκεται στο σελίδα για τον τρόπο λειτουργίας.
Δεν υπάρχει αρχή που θα καθορίσει για σας εάν η NIS2 ισχύει για την επιχείρησή σας· αυτή παραμένει μια αξιολόγηση που ανήκει σε σας, στον νομικό σας σύμβουλο ή στην αρχή εποπτείας. Ωστόσο, αυτό που μπορείτε να κάνετε γρήγορα είναι να ελέγξετε εάν τα σήματα που αναγνωρίζετε ταιριάζουν με μια άμεση ή έμμεση εμπλοκή. Αν θέλετε να το δείτε με σαφήνεια δίπλα-δίπλα, μπορείτε να σε μερικές ερωτήσεις να πάρετε ένδειξη του που βρίσκεστε, ή να εξετάσετε με ησυχία τα θέματα που μπορεί να ισχύουν για την κατάστασή σας.