NIS2 all'estero: la legge è uguale in ogni paese dell'UE?
No, non esattamente. NIS2 è una direttiva europea, e una direttiva funziona diversamente da un regolamento. Un regolamento come il GDPR si applica direttamente e alla lettera in tutti gli Stati membri. Una direttiva come NIS2 fornisce un obiettivo e una cornice, ma ogni paese deve trasporvela nella propria legislazione nazionale. Di conseguenza, le regole precise, i termini utilizzati e il modo di controllo possono differire da paese a paese, anche se il principio di base è lo stesso ovunque.
Per un imprenditore che fornisce clienti in più paesi o che ha sedi all'estero, ciò significa che un questionario dalla Germania può utilizzare parole leggermente diverse da un questionario dalla Francia o dal Belgio, anche se entrambi si rifanno alla stessa direttiva europea. Ciò che in un paese è chiamato una misura obbligatoria, in un altro paese può ricadere sotto una denominazione leggermente diversa. Non è un errore del vostro cliente e neanche un errore vostro: è una conseguenza di come una direttiva funziona dal punto di vista giuridico.
Cosa rimane uguale, cosa cambia
Il nucleo di NIS2 è stabilito a livello europeo: quali settori possono rientrare nella direttiva, che tipo di misure nel campo della cybersicurezza sono attese, e che verrà introdotta una forma di controllo. Questa base è lo stesso principio di partenza in tutti gli Stati membri.
Ciò che differisce riguarda principalmente l'attuazione. Ogni paese designa la propria autorità di controllo, con un nome e una modalità di funzionamento propri. Anche il modo in cui un'impresa deve dichiararsi, la formulazione precisa degli obblighi e i regimi sanzionatori nazionali possono variare da paese a paese. Inoltre, alcuni paesi hanno scelto di attuare la direttiva in modo più ampio o leggermente più rigoroso rispetto al minimo europeo, entro lo spazio che la direttiva permette.
Ciò significa in pratica che un fornitore olandese che fornisce un acquirente tedesco o spagnolo può ricevere un questionario strutturato leggermente diversamente da un elenco olandese comparabile. La domanda di fondo — potete dimostrare che fate qualcosa per la cybersicurezza — di solito è comparabile. La forma in cui viene formulata quella domanda non sempre lo è.
Cosa significa questo per il vostro dossier della catena
Per l'imprenditore che risponde alla stessa tipologia di domande decine di volte all'anno, la distinzione tra il nucleo europeo e l'implementazione nazionale è principalmente rilevante dal punto di vista pratico. Le prove che fornite — una politica, una panoramica delle misure, una dichiarazione sul controllo dell'accesso — possono rimanere fondamentalmente le stesse, anche se la formulazione delle domande varia da paese a paese. È la traduzione nel formato dell'acquirente che può variare da paese a paese, non necessariamente il contenuto di ciò che avete già documentato.
È qui che un dossier centralizzato della catena mostra il suo valore: registrare una volta l'informazione di base e riutilizzarla per ogni questionario, indipendentemente dal paese in cui si trova l'acquirente o da quale legge nazionale sia effettivamente alla base della domanda. nella knowledge base con spiegazioni per argomento indica per ogni tema quali informazioni vengono solitamente richieste, in modo che non dobbiate scoprire di nuovo per ogni paese cosa sia diverso.
Se NIS2 nella forma nazionale di un determinato paese si applica specificamente alla vostra azienda e quali obblighi precisi ne derivano, è indicato nella legislazione di quel paese stesso e presso l'autorità di controllo designata lì. Per la situazione olandese potete verificarlo presso l'autorità di controllo competente o presso un avvocato che conosca questioni NIS2 transfrontaliere; noi non valutiamo questa situazione e non esprimiamo un giudizio al riguardo.
Innanzitutto vedere dove state più o meno
Se non siete sicuri che le domande sulla sicurezza informatica che ricevete siano collegate a NIS2, oppure derivino semplicemente dalla politica del vostro cliente, è utile avere prima una breve panoramica di ciò che viene solitamente chiesto e perché. ottenere in poche domande una prima indicazione mostra quali argomenti potrebbero essere rilevanti per la vostra situazione, senza che questo costituisca un giudizio sulla vostra conformità.
Per coloro che vogliono sapere esattamente da dove provengono le informazioni su supplia.eu e come vengono gestite, questo è illustrato in la pagina su come sono state generate le informazioni. Se dopo la lettura avete ancora dubbi su un termine o una situazione specifica, troverete ulteriori spiegazioni in le domande frequenti su questionari e vigilanza.
Se volete sapere come queste differenze tra paesi si manifestano nella pratica presso i vostri clienti, fate la scansione rapida gratuita o sfogliate la banca dati delle conoscenze. In questo modo vedrete rapidamente quali argomenti riguardano la vostra azienda, senza dover prima ricercare autonomamente tutta la normativa nazionale.