NIS2 i utlandet: är lagen densamma i varje EU-land?
Nej, inte helt. NIS2 är ett europeiskt direktiv, och ett direktiv fungerar annorlunda än en förordning. En förordning som GDPR gäller direkt och ordagrant i alla medlemsstater. Ett direktiv som NIS2 ger ett syfte och en ram, men varje land måste omvandla det till egen nationell lagstiftning. Därför kan de exakta reglerna, de använda termerna och sättet för tillsyn variera från land till land, även om utgångspunkten är densamma överallt.
För en företagare som levererar till kunder i flera länder, eller som själv har verksamheter utomlands, innebär detta att ett frågeformulär från Tyskland kan använda andra ord än ett frågeformulär från Frankrike eller Belgien, medan båda går tillbaka till samma europeiska direktiv. Det som i ett land kallas en obligatorisk åtgärd kan i ett annat land falla under ett något annorlunda begrepp. Det är inget fel från er klients sida och inte heller från er sida: det är en följd av hur ett direktiv fungerar juridiskt.
Vad förblir densamma, vad skiljer sig
Kärnan i NIS2 är fastställd på europeisk nivå: vilka sektorer som kan omfattas av direktivet, vilken typ av cybervärnåtgärder som förväntas, och att en form av tillsyn kommer att finnas. Denna grund är samma utgångspunkt i alla medlemsstater.
Skillnaderna ligger huvudsakligen i genomförandet. Varje land utser sin egen tillsynsmyndighet, med ett eget namn och egen arbetssätt. Även sättet på vilket ett företag måste anmäla sig, den exakta formuleringen av förpliktelser och de nationella straffavgiftssystemen kan variera från land till land. Dessutom har vissa länder valt att genomföra direktivet bredare eller något strängare än det europeiska minimimumet, inom utrymmet som direktivet tillåter för detta.
I praktiken innebär detta att en nederländsk underleverantör som levererar till en tysk eller spansk köpare kan få ett frågeformulär som är uppbyggt något annorlunda än ett jämförbart nederländskt formulär. Den underliggande frågan — kan ni visa att ni gör något för cybersäkerhet — är oftast jämförbar. Den form i vilken frågan ställs är det inte alltid.
Vad detta betyder för er egen leverantörsregister
För företagaren som besvarar samma slags frågor dussintals gånger per år är skillnaden mellan den europeiska kärnan och det nationella genomförandet främst praktiskt relevant. De bevis som ni presenterar — en policy, en översikt över åtgärder, ett uttalande om åtkomstkontroll — kan i grund och botten förbli desamma, även om frågorna skiljer sig från land till land. Det är översättningen till köparens format som kan variera från land till land, inte nödvändigtvis innehållet i det ni redan har dokumenterat.
Det är också där ett centralt leverantörsregister visar sitt värde: dokumentera den underliggande informationen en gång och använd den på nytt för varje frågeformulär, oavsett i vilket land köparen är belägen eller vilken nationell lag som exakt ligger bakom frågan. kunskapsbanken med förklaringar per ämne anger per tema vilken information som vanligtvis efterfrågas, så att ni inte behöver ta reda på på nytt för varje land vad som är annorlunda.
Huruvida NIS2 i den nationella formen för ett specifikt land faktiskt gäller er verksamhet, och vilka exakta förpliktelser som följer därav, framgår av lagstiftningen i det landet själva och från den tillsynsmyndighet som har utsetts där. För den nederländska situationen kan ni kontrollera detta hos den behörig tillsynsmyndigheten eller en jurist som är bekant med gränsöverskridande NIS2-frågor; vi bedömer inte den situationen och ger ingen bedömning därom.
Först se ungefär var ni står
Om du är osäker på om frågorna om cybersäkerhet som du mottar hänger samman med NIS2, eller helt enkelt kommer från din egen klients policy, är det bra att först ha en kort överblick över vad som vanligtvis frågades och varför. få en första indikation i ett par frågor visar vilka ämnen som kan vara relevanta för din situation, utan att detta är ett omdöme om din efterlevnad.
För den som exakt vill veta varifrån informationen på supplia.eu kommer och hur den hanteras, förklaras det på sidan om hur informationen skapas. Om du efter läsningen fortfarande har tvivel om en specifik term eller situation hittar du ytterligare förklaringar i de vanliga frågorna om enkäter och tillsyn.
Om du vill veta hur denna typ av landskillnader i praktiken återkommer hos dina egna kunder, gör då en kostnadsfri snabbkontroll eller bläddra genom kunskapsbanken. På så sätt ser du snabbt vilka ämnen som är relevanta för ditt företag, utan att du först själv behöver ta reda på all nationell lagstiftning.