Az NIS2 az a európai irányelv, amely kiberbiztonságra vonatkozó követelményeket állít bizonyos ágazatokban működő szervezetek elé. Az, hogy az irányelv közvetlenül az Ön vállalkozására vonatkozik-e, két tényezőtől függ: attól az ágazattól, amelyben működik, és vállalkozása méretétől. Ha nem esik e kombináció alá, akkor valószínűleg nem az irányelv közvetlen célcsoportja, de ez nem jelenti azt, hogy az NIS2 soha nem érinti Önt.
Valójában sok olyan vállalkozás, amely maga kívül esik a hatályon, mégis kiberbiztonságra vonatkozó kérdéseket kap egy olyan ügyfeltől, amely az NIS2 hatálya alá tartozik. Az ügyfélnek bizonyítania kell, hogy az egész ellátási lánca kellőképpen védett, ezért ezért kérdőívet küld tovább a szállítóinak. Ebben az esetben az irányelv nem Önre vonatkozik, hanem az ügyfél által azzal kötött szerződéses megállapodásra igen.
Az ágazat és a méret meghatározzák a közvetlen kötelezettséget
Az irányelv az úgynevezett "lényeges" és "fontos" entitásokra irányul: szervezetek olyan ágazatokból, mint az energia, a szállítás, az ivóvíz, a digitális infrastruktúra, a bankszektor és az egészségügy, kiegészítve számos más, az irányelvben felsorolt ágazattal. Ezen felül méretbeli kritériumok alkalmazandók, amelyek ágazatönként és kategóriánként eltérhetnek. Egy kis szerelőcég, amely nem játszik szerepet az alábbi ágazatok egyikében sem, általában az NIS2 közvetlen hatályán kívül esik. A pontos ágazatlista és az, ahogyan a tagállamok ezt az nemzeti jogszabályokba átültették, az hivatalos szövegben és az adott országban kijelölt felügyeleti szervnél található meg; Hollandiában ez a Rijksinspectie Digitale Infrastructuur.
Az ágazaton kívül is: az ügyfele kérdése
Az NIS2 hatálya alá tartozó vállalkozásnak többek között felmérnie kell, hogy az általa együttműködő szervezetek mennyire biztonságosak. Ezt ellátási lánc vagy szállító kockázatnak hívják, és az irányelv ezt kifejezetten kitüntetett kérdésként említi. A gyakorlatban ez az ügyfél oldalán egy kérdőívben vagy szerződéses rendelkezésben nyilvánul meg: van-e Önnek kapcsolattartója az incidensekhez, jelentkezik-e egy adatsérülést bizonyos időn belül, van-e hozzáférés-vezérlést végrehajtva. Ezek gyakran ugyanolyan típusú intézkedések, mint az az tíz intézkedés, amelyet az irányelv maga említ az alábbiak alá közvetlenül tartozó vállalkozások számára. A kérdések pontos jelentéséről és arról, hogy ezek hogyan viszonyulnak a meglévő kötelezettségekhez, például az GDPR-hoz, bővebben olvashat a a tudásbázisban szereplő témaonként..
Hogyan ellenőrizze ezt a saját helyzetére nézve
Az, hogy az NIS2 közvetlenül Önre vonatkozik-e, egy tényszerű kérdés, amelyet a legjobban úgy válaszolhat meg, hogy az az ország által átültetett szektorbeosztás és méretbeli kritériumok alapján szembeszáll. Ha kétségei vannak, akkor az illetékes felügyeleti szerv vagy egy jogász az erre jogosult fél, hogy ezt megállapítsa; ez a cikk nem helyettesítheti ezt az értékelést. Amit Ön maga gyorsan ellenőrizhet, az az, hogy közvetett érintettségre utaló jeleket kap-e: egy ügyfél, aki nemrégiben kiberbiztonsággal kapcsolatos kérdőívet küldött, egy olyan szerződés, amely jelentési kötelezettségekre hivatkozik, vagy egy olyan közbeszerzés, amelyben biztonsági intézkedéseket kérnek. Ezek gyakorlati jelek, nem jogi megállapítás.
Mi a teendő, ha Ön mégis kérdéseket kap, függetlenül a közvetlen kötelezettségtől
Függetlenül attól, hogy közvetlenül az NIS2 hatálya alá tartozik-e vagy csak egy ügyfél révén találkozik a következményeivel, a kérdőív maga nem sokat változik: Önt arra kérik, hogy írja le, milyen intézkedéseket tett, és ezt bizonyítékokkal támassza alá. Ez gyakran átfedésben van azzal, amit már más célokra dokumentált, például hozzáférés-vezérlés az GDPR-hoz vagy sürgősségi eljárások az üzletmenet folytonossága érdekében. Ez az átfedés az, amely miatt a vállalkozások ugyanolyan típusú bizonyítékokat újra és újra be kell nyújtaniuk, csak éppen mindig egy másik formátumban. A gyakran ismételt kérdésekre adott válaszokat arról, hogy ezek a kérdőívek pontosan hogyan működnek, az alábbiaknál találja: a gyakori kérdések a kérdőívekről, és a magyarázat arról, hogy az ezen az oldalon található információ honnan származik, a működésről szóló oldalt.
Nincs olyan hatóság, amely megállapítaná, hogy az NIS2 az Ön vállalkozására vonatkozik; ez továbbra is olyan értékelés marad, amely Önnél, az Ön jogászánál vagy a felügyeleti hatóságnál marad. Ami azonban gyorsan megtehető, az annak ellenőrzése, hogy a felismert jelek illeszkednek-e egy közvetlen vagy közvetett érintettséghez. Ha ezt áttekinthetően egymás mellett szeretné látni, akkor használhatja a néhány kérdésben kaphat egy jelzést arról, hogy hol áll, vagy nyugodtan tekintse át azokat a tárgyakat, amelyek az Ön helyzetére vonatkozhatnak.