NIS2 je evropska direktiva, ki postavlja zahteve za kibernetsko varnost v organizacijah v določenih sektorjih. Ali direktiva neposredno velja za vaše podjetje, je odvisno od dveh stvari: panoge, v kateri delujete, in velikosti vašega podjetja. Če ne spadate pod to kombinacijo, verjetno niste neposredna ciljna skupina direktive, vendar to ne pomeni, da vas NIS2 nikoli ne bo dosegla.
Mnoga podjetja, ki sicer niso v obsegu direktive, pa vseeno dobijo vprašanja o kibernetski varnosti od stranke, ki je pod NIS2. Ta stranka mora dokazati, da je njena celotna oskrbna veriga dovolj zaščitena, zato pošlje vprašalnik proizvajalcem in dobavljačem. V tem primeru direktiva za vas ne velja, vendar pa velja pogodbe, ki jo vaša stranka nanjo sklene.
Sektor in velikost določata neposredno obveznost
Direktiva se osredotoča na to, kar imenuje »bistvene« in »pomembne« subjekte: organizacije v sektorjih, kot so energetika, promet, pitna voda, digitalna infrastruktura, bančništvo in zdravstvo, dopolnjene s številnimi drugimi sektorji, navedenimi v sami direktivi. Poleg tega veljajo merila velikosti, ki se lahko razlikujejo po sektorjih in kategorijah. Malo podjetje za namestitev brez vloge v enem od teh sektorjev po pravilu ne sodi v neposredno veljavo NIS2. Natančen seznam sektorjev in način, kako so členice to prenašale v nacionalno zakonodajo, najdete v uradnem besedilu in pri nadzorniku, ki je v vaši državi imenovan; v Nederlandski je to Rijksinspectie Digitale Infrastructuur.
Tudi zunaj sektorja: vprašanje vaše stranke
Podjetje, ki je res pod NIS2, mora med drugim oceniti, kako varni so organizacije, s katerimi sodeluje. To se imenuje tveganje v oskrbni verigi ali tveganje dobavljačev in direktiva to izrecno omeni kot točko pozornosti. V praksi se to prevede v vprašalnik ali pogojno določbo pri vaši stranki: imate stik za incidente, prijavite kršitev podatkov v roku, ste uredili nadzor dostopa. To so pogosto enake vrste ukrepov kot deset, ki jih direktiva sama omenja za podjetja, ki se nanjo neposredno nanašajo. Več o tem, kaj ta vprašanja točno pomenijo in kako se nanašajo na obstoječe obveznosti, kot je GDPR, preberite v razlagi po temah v bazi znanja.
Kako to preverite za sebe
Ali NIS2 neposredno velja za vas, je dejstveno vprašanje, ki ga najbolje odgovorite z uradnim seznamom sektorjev in merili velikosti, kot so v vaši državi prenešeni. Če ste v dvomih, je pristojni nadzor ali pravnik ustrezna oseba za presojo; ta članek te ocene ne more nadomestiti. Kaj lahko sami hitro preverite, je, ali dobivate signale, ki kažejo na posredno vpetost: stranka je pravkar poslala vprašalnik o kibernetski varnosti, pogodba se sklicuje na obveznosti obveščanja ali javni razpis, v katerem se zahtevajo varnostni ukrepi. To so praktični znaki, ne pravni sklep.
Kaj, če dobite vprašanja, ne glede na neposredno obveznost
Ne glede na to, ali se neposredno nanašate na NIS2 ali se z njenim delovanjem ukvarjate samo preko stranke, se sam vprašalnik ne spremeni veliko: od vas se zahteva, da opišete, katere ukrepe ste sprejeli, in jih dokazati. To se pogosto prekriva z onim, kar ste že zabeležili za druge namene, kot je nadzor dostopa za GDPR ali postopki nujnosti za poslovno kontinuiteto. Prav ta prepletenost je tista, ki povzroča, da morajo podjetja enake vrste dokazov ponovno in ponovno predložiti, le v drugem formatu. Odgovore na pogosto postavljena vprašanja o tem, kako točno delujejo ta vrsta seznamov, najdete v pogosta vprašanja o vprašalnikih, in razlaga, od koder izvirajo informacije na tem spletnem mestu, je na strani o tem, kako deluje.
Ni nobene institucije, ki bi za vas ugotovila, ali se NIS2 uporablja za vaše podjetje; to ostane presoja, ki je v vaši domeni, domeni vašega pravnika ali nadzornega organa. Kaj pa lahko hitro storite, je, da preverite, ali se signali, ki jih prepoznavate, ujemajo z neposredno ali posredno vpletenostjo. Želite li to videti pregledno drug ob drugem, potem lahko v nekaj vprašanjih dobite nakazilo o vaši trenutni situaciji, ali mirno preberete teme, ki se lahko nanašajo na vašo situacijo.