NIS2 on Euroopa direktiiv, mis kehtestab küberjulgeolekule nõudeid organisatsioonidele teatud sektorites. Kas direktiiv kehtib otseselt teie ettevõttele, sõltub kahest asjaolust: sektorist, milles te tegutsete, ja teie ettevõtte suurusest. Kui te ei kuulu selle kombinatsiooni alla, siis te ise olete tõenäoliselt direktiivi otsene sihtrühm, kuid see ei tähenda, et NIS2 teid kunagi ei jõua.
Paljud ettevõtted, kes ise väljaspool direktiivi rakendamisala jäävad, saavad siiski küberjulgeoleku küsimusi kliendilt, kes NIS2 alla kuulub. See klient peab tõendama, et ta kogu keel on piisavalt kaitstud, ja saadab seetõttu küsimustiku oma tarnijatele. Sel juhul direktiiv teile ei kehti, kuid kehtib lepinguline kokkulepe, millega teie klient selle direktiiviga seob.
Sektor ja suurus määravad otsese kohustuse
Direktiiv käsitleb neid, mida nimetab "oluliste" ja "tähtsate" üksusteks: organisatsioone sektorites nagu energia, transport, joogivesi, digitaalne infrastruktuur, pangandus ja tervishoiutehingud, täiendatuna mitmete muude sektoritega, mis direktiivis ise on loetletud. Lisaks kehtivad suuruskriteeriumi, mis võivad sektori ja kategooria kaupa erineda. Väike paigaldusfirma, millel pole rolli üheski neist sektoritest, jääb reeglina NIS2 otsesest rakendamisalast välja. Täpset sektoriloetelu ja seda, kuidas liikmesriigid selle riiklikuks õigusaktiks on muutnud, leiate ametlikus tekstis ja selles riigis määratud järelevalveasutuselt; Hollandis on see Digiriigiinspektsioon.
Ka väljaspool sektorit: teie kliendi küsimus
Ettevõte, kes NIS2 alla kuulub, peab muuhulgas hindama, kui turvalisem on organisatsioone, kellega ta töötab. Seda nimetatakse ketiriskiks või tarnijariski, ja direktiiv nimetab seda otseselt arengu punktina. Praktikas tõlgendatakse seda küsimustikuks või lepinguliseks määruseks teie klien: kas teil on juhtum juhtusmite jaoks, kas teate andmete rikkumisest kindla aja jooksul, kas olete juurdepääsu kontroll korraldanud. Need on sageli samad tüüpi meetmed nagu kümme, mida direktiiv ise nimetab ettevõtetele, kes selle alla otse kuuluvad. Lisateavet selle kohta, mida need küsimused täpselt tähendavad ja kuidas nad seostuvad olemasolevate kohustustega nagu GDPR, leiate teemas antud selgituste teadmispangast.
Kuidas te seda oma jaoks kontrollite
Kas NIS2 kehtib otseselt teile, on faktikäsitlus, mida saate paremini vastata ametliku sektorijaotuse ja teie riigis rakendatud suurusekriteeriumide abil. Kui kahtlete, siis on pädev järelevalveasutus või jurist õige pool, et seda hinnata; see artikkel ei saa seda hinnangut asendada. Mida te ise kiiresti kontrolliga, on see, kas saate signaale, mis viitavad kaudsele kaasamisele: klient, kes äsja saatis küsimustiku küberjulgeoleku kohta, leping, mis viitab teabetusmakendele, või hange, milles nõutakse turvameetmeid. Need on praktilised viited, mitte juriidiline otsus.
Mis siis, kui te küsimusi saate, olenemata otsesest kohustusest
Ükskõik, kas te otse NIS2 alla kuulute või ainult kliendi kaudu selle tagajärgede peale satute, küsimustik ise ei muutu palju: teil palutakse kirjeldada, millised meetmed te võtnud olete, ja seda toetada. See kattub sageli sellega, mida te juba teiste eesmärkide jaoks fikseerinud olete, nagu juurdepääsu kontroll GDPR jaoks või kriisiolukorra protsessid äri järjepidevuse jaoks. Just see kattuvus teeb, et ettevõtted peavad korduvalt sama tüüpi tõendeid esitama, ainult jälle teises vormingus. Vastused sageli esitatud küsimustele, kuidas sellised küsimustikud täpselt toimivad, leiate korduma kippuvad küsimused küsitluste kohta, ja selgitus selle kohta, kust selle saidi teave pärineb, on saadaval juhiste leheküljel.
Ei ole instantsi, mis teie eest kindlaks teeks, kas NIS2 teie ettevõttele kohaldub; see jääb beoordeeluseks, mis jääb teie endi, teie juristil või järelevalvijal. Mida te siiski kiiresti teha saate, on kontrollida, kas teie poolt tuvastatud signaalid sobivad otsese või kaudse seotusega. Kas soovite seda ülevaatlikult kõrvuti näha, siis võite paari küsimusega saada vihjeid oma seisukohast, või käsitlege rahulikult teemasid, mis teie olukorra puhul rakendatavad võivad olla.