NIS2 je europska direktiva koja postavlja zahtjeve za kibernetsku sigurnost u organizacijama u određenim sektorima. Vrijedi li direktiva izravno za vaše poslovanje ovisi o dvjema stvarima: sektoru u kojem ste aktivni i veličini vaše poduzeće. Ako ne spadate u tu kombinaciju, vjerojatno niste izravna ciljana grupa direktive, ali to ne znači da vas NIS2 nikada neće dosegnuti.
Mnoga poduzeća koja sama padaju izvan primjene direktive ipak primaju pitanja o kibernetskoj sigurnosti od klijenta koji je pod NIS2. Taj klijent mora dokazati da je njegov cijeli lanac dovoljno zaštićen, pa zato šalje upitnik svojim dobavljačima. U tom slučaju direktiva ne vrijedi za vas, ali vrijedi ugovorna odredba koju vaš klijent vezuje uz nju.
Sektor i veličina određuju izravnu obvezu
Direktiva se fokusira na ono što naziva "suštinskim" i "važnim" entitetima: organizacijama u sektorima kao što su energija, promet, pitka voda, digitalna infrastruktura, bankarski sektor i zdravstvena zaštita, dopunjeno s nizom drugih sektora koji su nabrojani u samoj direktivi. Osim toga, primjenjuju se kriteriji veličine koji se mogu razlikovati po sektoru i po kategoriji. Mali instalacijski pogon bez uloge u nekom od tih sektora obično pada izvan izravne primjene NIS2. Točnu listu sektora i način na koji su je država članica transponirala u nacionalno zakonodavstvo nalazite u službenom tekstu i kod nadzornog tijela koje je u vašoj zemlji određeno; u Nizozemskoj je to Rijksinspekcija Digitalne Infrastrukture.
I izvan sektora: pitanje vašeg klijenta
Poduzeće koje je pod NIS2 mora, između ostalog, procijeniti koliko su sigurne organizacije s kojima surađuje. To se naziva rizik u lancu ili rizik dobavljača, i direktiva to eksplicitno spominje kao točku pažnje. U praksi se to prevodi u upitnik ili ugovornu odredbu kod vašeg klijenta: imate li kontaktnu osobu za incidente, prijavljujete li kršenje podataka unutar određenog roka, imate li uređeno upravljanje pristupom. To su često iste vrste mjera kao deset mjera koje sama direktiva navodi za poslovanja koja su izravno pod njom. Više o tome što ta pitanja točno znače i kako se odnose prema postojećim obvezama kao što je GDPR, pročitajte u objašnjenju po predmetu u bazi znanja.
Kako to provjerite za sebe
Vrijedi li NIS2 izravno za vas, to je činjenično pitanje koje najbolje možete odgovoriti na osnovu službene sektorske klasifikacije i kriterija veličine kako su preneseni u vašoj zemlji. Ako ste u sumnji, nadležno nadzorno tijelo ili pravnik su pravi izbor za tu procjenu; ovaj članak ne može zamijeniti tu procjenu. Ono što sami brzo možete provjeriti je primjenjujete li signale koji ukazuju na neizravnu uključenost: klijent koji je upravo poslao upitnik o kibernetskoj sigurnosti, ugovor koji se odnosi na obveze prijave, ili javna nabava u kojoj se traže sigurnosne mjere. To su praktični znakovi, ne pravna presuda.
Što ako dobijete pitanja, bez obzira na izravnu obvezu
Bilo da ste izravno pod NIS2 ili samo posredno suočeni s njenim posljedicama preko klijenta, sam upitnik se ne mijenja puno: od vas se traži da opišete koje mjere ste poduzeli i to potkrijepite. To se često preklapa s onim što ste već zabilježili u druge svrhe, kao što je upravljanje pristupom za GDPR ili nužne procedure za poslovna kontinuitet. Upravo ta prekllapanje čini da poduzeća ista vrsta dokaza moraju dostavljati iznova i iznova, svaki put u malo drugom formatu. Odgovore na često postavljena pitanja o tome kako ta vrsta upitnika točno funkcionira, nalazite u često postavljana pitanja o upitnicima, i objašnjenje o izvoru informacija na ovoj stranici nalazi se na stranici o kako to funkcionira.
Nema institucije koja će za vas utvrditi primjenjuje li se NIS2 na vaše poduzeće; to ostaje procjena koja vas se tiče, vašeg pravnika ili nadzornog tijela. Ono što možete brzo učiniti je provjeriti primjenjuju li se signali koje prepoznajete na vaš slučaj putem izravnog ili neizravnog uključivanja. Želite li to vidjeti pregledno jedno pored drugoga, tada možete u nekoliko pitanja dobiti naznaku gdje se nalazite, ili mirno provjeri teme koje se mogu primjenjivati na vašu situaciju.