NIS2 je európska smernica, ktorá kladie požiadavky na kybernetickú bezpečnosť v organizáciách v určitých sektoroch. To, či sa smernica priamo vzťahuje na vašu spoločnosť, závisí od dvoch vecí: sektora, v ktorom pôsobíte, a veľkosti vášho podniku. Ak pod túto kombináciu nespadáte, pravdepodobne nie ste priamou cieľovou skupinou smernice, ale to neznamená, že NIS2 vás nikdy nedotkne.
Mnoho podnikov, ktoré sami nespadajú do rozsahu použitia, napriek tomu dostane otázky o kybernetickej bezpečnosti od zákazníka, na ktorého sa NIS2 vzťahuje. Tento zákazník musí preukázať, že jeho celý reťazec je dostatočne zabezpečený, a preto rozširuje otáznik dodávateľom. V takom prípade sa smernica na vás nevzťahuje, ale vzťahuje sa na vás zmluvné dohodnutie, ktoré jej váš zákazník priraďuje.
Sektor a veľkosť určujú priamu povinnosť
Smernica sa zaoberá tým, čo nazýva "nevyhnutné" a "dôležité" subjekty: organizácie v sektoroch ako energia, doprava, pitná voda, digitálna infraštruktúra, bankovníctvo a zdravotníctvo, doplnené o množstvo ďalších sektorov, ktoré sú uvedené v samotnej smernici. Okrem toho existujú kritériá veľkosti, ktoré sa môžu líšiť podľa sektora a kategórie. Malá inštalačná spoločnosť bez úlohy v niektorom z týchto sektorov sa spravidla vyhýba priamej pôsobnosti NIS2. Presný zoznam sektorov a spôsob, ako ho členské štáty transponovali do národnej legislatívy, nájdete v oficiálnom texte a u dozorného orgánu, ktorý je vo vašej krajine určený; v Holandsku je to Rijksinspectie Digitale Infrastructuur.
Aj mimo sektora: otázka vášho zákazníka
Podnik, na ktorý sa NIS2 vzťahuje, musí okrem iného posúdiť, ako bezpečné sú organizácie, s ktorými spolupracuje. Toto sa nazýva riziko reťazca alebo riziko dodávateľa, a smernica to výslovne spomína ako bod pozornosti. V praxi sa to prejavuje otáznikom alebo zmluvným ustanovením u vášho zákazníka: máte kontaktnú osobu na incidenty, nahlasujete únik údajov v určitej lehote, máte upravené riadenie prístupu. Ide často o rovnaký druh opatrení ako desať, ktoré samotná smernica spomína pre podniky, na ktoré sa priamo vzťahuje. Viac o tom, čo tieto otázky presne znamenajú a ako sa vzťahujú na existujúce povinnosti, ako je GDPR, si prečítajte v vysvetlení podľa témy v banke znalostí.
Ako si to overíte sami
To, či sa NIS2 priamo vzťahuje na vás, je faktická otázka, ktorú si najlepšie odpoviedate na základe oficiálneho zoznam sektorov a kritérií veľkosti, ako boli transponované vo vašej krajine. Ak ste v pochybnostiach, príslušný dozorný orgán alebo právnik sú vhodný subjekt na vyhodnotenie; tento článok nemôže túto analýzu nahradiť. To, čo si môžete sami rýchlo overiť, je, či dostávate signály, ktoré naznačujú nepriamu angažovanosť: zákazník, ktorý práve poslal otáznik o kybernetickej bezpečnosti, zmluva, ktorá odkazuje na povinnosti nahlasovať, alebo verejné obstarávanie, v ktorom sa vyžadujú bezpečnostné opatrenia. To sú praktické náznaky, nie právne posúdenie.
Čo ak dostávate otázky, bez ohľadu na priamu povinnosť
Bez ohľadu na to, či sa NIS2 priamo vzťahuje na vás alebo len nepriamo cez zákazníka, samotný otáznik sa veľa nemení: je vám predložený popis opatrení, ktoré ste prijali, a ich podloženie. To sa často prekrýva s tým, čo ste už zdokumentovali na iné účely, ako je riadenie prístupu pre GDPR alebo procedúry kontinuity podnikania. Je to práve tento overlap, ktorý robí, že podniky musia opakovane dodávať rovnaký druh dôkazov v iných formátoch. Odpovede na často kladené otázky o tom, ako presne tieto otázníky fungujú, nájdete v často kladené otázky o dotazníkoch, a vysvetlenie toho, odkiaľ pochádzajú informácie na tejto stránke, nájdete na stránke o tom, ako to funguje.
Neexistuje žiadny orgán, ktorý by pre vás určil, či sa NIS2 vzťahuje na vašu spoločnosť; to zostáva posúdením, ktoré leží na vás, vašom právnikovi alebo dohľadovom orgáne. To, čo však môžete rýchlo urobiť, je skontrolovať, či signály, ktoré rozpoznávate, zodpovedajú priamemu alebo nepriamemu zapojeniu. Ak chcete vidieť toto prehľadne vedľa seba, môžete v niekoľkých otázkach získať indikáciu vášho stavu, alebo si pokojne prejsť témy, ktoré sa môžu vzťahovať na vašu situáciu.