NIS2 yra Europos direktyva, kuri nustato kibernetinio saugumo reikalavimus tam tikrose sektoriuose veikiančioms organizacijoms. Tai, ar direktyva tiesiogiai taikoma jūsų įmonei, priklauso nuo dviejų veiksnių: sektoriaus, kuriame veikiate, ir jūsų įmonės dydžio. Jei jūs nepriklausote tai kombinacijai, tikriausiai jūs negreitai nepateksite į tiesioginę direktyvos tikslinę grupę, tačiau tai nereiškia, kad NIS2 jūsų niekada nepalies.
Daugelis įmonių, kurios patys yra už direktyvos taikymo srities, vis dėlto gauna klausimynus dėl kibernetinio saugumo iš kliento, kuris patenka į NIS2. Tas klientas turi parodyti, kad visa jo tiekimo grandinė yra pakankamai apsaugota, todėl jis siunčia klausimyną tiekėjams. Tokiu atveju direktyva jums netaikoma, tačiau taip pat ir sutartyje numatytas susitarimas, kurį jūsų klientas su juo surišo.
Sektorius ir dydis nustato tiesioginę pareigą
Direktyva sutelkiama į tai, ką ji vadina "esminėmis" ir "svarbiausiomis" subjektais: organizacijomis sektoriuose, tokiose kaip energetika, transportas, geriamasis vanduo, skaitmeninė infrastruktūra, bankininkystė ir sveikatos priežiūra, papildytose keliais kitais sektoriais, išvardytais pačioje direktyvoje. Be to, galioja dydžio kriterijai, kurie gali skirtis priklausomai nuo sektoriaus ir kategorijos. Nedidėlis šildymo įrengimo įmonė, neturinčia vaidmens jokiame iš šių sektorių, paprastai yra už tiesioginės NIS2 taikymo srities. Tiksliausią sektorių sąrašą ir tai, kaip valstybės narės tai perėmė į nacionalinę teisę, rasite oficialiame tekste ir pas švietimo priežiūrą atliekanti institucija, paskirta jūsų šalyje; Nyderlanduose tai yra Rijksinspectie Digitale Infrastructuur.
Ir už sektoriaus ribų: jūsų kliento klausimas
Įmonė, kuri patenka į NIS2, turi, be kita ko, įvertinti, kaip saugi su ja bendradarbiaujančios organizacijos. Tai vadinama tiekimo grandinės arba tiekėjo riziką, ir direktyva tai aiškiai nurodo kaip aspektą, kurio reikia atkreipti dėmesį. Praktikoje tai reiškia klausimyną arba jūsų kliento sutartyje esančią nuostatą: ar turite incidento kontaktą, pranešate apie duomenų saugą per tam tikrą laikotarpį, ar tvarkėte prieigos kontrolę. Tai dažnai yra ta pati rūšis priemonių, kaip ir dešimt, kurias pati direktyva nurodo įmonėms, kurias ji tiesiogiai tvarko. Daugiau apie tai, ką tie klausimai tiksliai reiškia ir kaip jie susijęs su esamomis pareigomis, tokiomis kaip BDAR, skaitykite pagal paaiškinimą kiekvienu žingsniu žinių bazėje.
Kaip tai patikrinti savo atveju
Tai, ar NIS2 tiesiogiai jums taikoma, yra faktinis klausimas, kurį geriausiai galite atsakyti remiantis oficialia sektoriaus klasifikacija ir dydžio kriterijais, kaip jie jūsų šalyje perkelti. Jei abejojate, kompetentinga priežiūros institucija arba juriskonsuitas yra tinkama šalis tai įvertinti; šis straipsnis negali pakeisti to vertinimo. Tai, ką patys galite greitai patikrinti, yra tai, ar gausite signalus, rodančius netiesiogį dalyvavimą: klientą, kuris ką tik atsiuntė klausimyną apie kibernetinį saugumą, sutartį, kuri nurodo pranešimo pareigas, arba viešą pirkimą, kuriame prašomi saugumo dydžiai. Tai yra praktiniai rodikliai, o ne teisinis sprendimas.
Kas jeigu jūs tikrai gaunu klausimus, nepriklausomai nuo tiesioginės pareigos
Ar jūs tiesiogiai patenkate į NIS2, ar tik per klientą jūs susiduriate su padėtimis, pats klausimynas nereikšmingai pasikeis: jūs pasikalbinsite apibūdinti, kokias priemones jūs paėmėte, ir tai pagrįsti. Tai dažnai sutampa su tuo, ką jūs jau turite dokumentuota kitiems tikslams, kaip prieigos kontrolė BDAR naudai arba neatidėliotinos procedūros verslo tęstinumui. Tai yra toji dalybai, kuri daro, kad įmonės tuos pačius tipo šaltinius per ir per turi pateikti, tik visai kitame formate. Atsakymai į dažnai užduodamus klausimus apie tai, kaip tiksliai veikia šios rūšies sąrašai, yra dažnai užduodami klausimai apie klausimynus, ir paaiškinimas apie tai, iš kur šioje svetainėje gauta informacija, yra puslapyje apie tai, kaip tai veikia.
Nėra institucijos, kuri nustatytų, ar jūsų įmonei taikoma NIS2; tai lieka vertinimu, kuris priklauso jums, jūsų teisininkui ar priežiūros institucijai. Tai, ką jūs greitai galite padaryti, yra patikrinti, ar jūsų atpažinti signalai atitinka tiesioginį arba netiesioginį dalyvavimą. Jei norite, kad tai matytumėte aiškiai vienas šalia kito, galite keliais klausimais gauti nurodymą, kurioje padėtyje jūs esate, arba ramiai peržvelgti temas, kurios gali būti taikomos jūsų situacijai.