NIS2 ir Eiropas direktīva, kas nosaka kiberdrošības prasības organizācijām noteiktās nozarēs. Tas, vai direktīva tieši attiecas uz jūsu uzņēmumu, ir atkarīgs no diviem faktoriem: nozares, kurā jūs darbojaties, un jūsu uzņēmuma lieluma. Ja jūs neatbilstat šai kombinācijai, jūs paši, iespējams, neesat direktīvas tiešā mērķgrupu, bet tas nenozīmē, ka NIS2 jūs nekad neskaras.
Daudzi uzņēmumi, kas paši ir ārpus direktīvas darbības jomas, tomēr saņem jautājumus par kiberdrošību no klienta, kurš ir NIS2 darbības jomā. Šim klientam ir jāpierāda, ka viņa visa piegādes ķēde ir pietiekami drošta, un tāpēc viņš sūta jautājumsarakstu uz piegādātājiem. Šajā gadījumā direktīva jums neattiecas, bet gan izdarītā līgumā paredzētā vienošanās, ko jūsu klients tai ir piebilsis.
Nozare un lielums nosaka tiešo pienākumu
Direktīva ir vērsta uz to, ko tā sauc par "būtiskiem" un "nozīmīgiem" subjektiem: organizācijām nozarēs, piemēram, enerģētika, transports, dzeramais ūdens, digitālā infrastruktūra, bankiersija un veselības aprūpe, papildinātas ar vairākām citām nozarēm, kas minētas pašā direktīvā. Papildus tam ir spēka kritēriji, kas var atšķirties atkarībā no nozares un kategorijas. Mazs instalācijas uzņēmums, kuram nav lomu nevienā no šīm nozarēm, pēc noteikuma ir ārpus NIS2 tiešās darbības jomas. Precīzu nozaru sarakstu un to, kā dalībvalstis to ir pārņēmusies valsts likumā, varat atrast oficiālajā tekstā un pie jūsu valstī norīkotā uzraugošā iestādes; Nīderlandē tas ir Valsts Digitālās Infrastruktūras Inspektorāts.
Arī ārpus nozares: jūsu klienta jautājums
Uzņēmumam, kas patiešām ir NIS2 darbības jomā, ir jānovērtē, cik drošas ir organizācijas, ar kurām tas sadarbojas. To sauc par piegādes ķēdes risku vai piegādātāja risku, un direktīva to skaidri nosauc kā vērības punktu. Praksē tas tiek tulkots jautājumsarakstā vai līgumā paredzētā noteikumā pie jūsu klienta: vai jums ir kontaktpersona nesoļu gadījumiem, vai jūs ziņojat par datu nopludi noteiktā termiņā, vai jums ir sakārtojusi piekļuvi kontrole. Bieži vien tās ir tādas pašas pasākumi kā desmit, ko paša direktīva piebilst uzņēmumiem, uz kuriem tā tieši attiecas. Vairāk par to, ko šie jautājumi nozīmē un kā tie attiecas uz esošiem pienākumiem, piemēram, GDPR, lasiet paskaidrojumi par katru tēmu zināšanu bāzē.
Kā to pārbaudīt sevis labad
Tas, vai NIS2 tieši uz jums attiecas, ir faktuāls jautājums, ko jūs vislabāk varat atbildēt, pamatojoties uz oficiālo nozaru sadalījumu un lieluma kritērijus, kā tie ir pārņemti jūsu valstī. Ja jūs šaubāties, tad kompetentā uzraudzības iestāde vai juriste ir pareizā puse, lai to novērtētu; šis raksts nevar aizvietot šo novērtējumu. To, ko jūs paši varat ātri pārbaudīt, ir tas, vai jūs saņemat signālus, kas norāda uz netiešu iesaistīšanu: klients, kas tikko ir nosūtījis jautājumsarakstu par kiberdrošību, līgums, kas norāda uz paziņojumu pienākumiem, vai iepirkuma procedūra, kurā tiek pieprasīti drošības pasākumi. Tie ir praktiski norādījumi, nevis juridiskais spriedums.
Kas tad, ja jūs tomēr saņemat jautājumus, neatkarīgi no tiešā pienākuma
Neatkarīgi no tā, vai jūs tieši esat NIS2 darbības jomā vai tikai caur klientu tikpat sekmīgi saskaraties ar to sekas, jautājumsaraksts pats par sevi nemainās daudz: jums tiek lūgts aprakstīt, kādi pasākumi jūs esat veikuši, un to pamatot. Tas bieži vien pārklājas ar to, ko jūs jau esat reģistrējuši citiem nolūkiem, piemēram, piekļuves kontroli GDPR nolūkos vai ārkārtas procedūras biznesa nepārtrauktībai. Tā ir šī pārklāšanās, kas padara to, ka uzņēmumiem viena un tā pati dokumentu veida kolekcija ir atkārtoti jāiesniedz, katrreiz atkal citā formātā. Atbildes uz bieži uzdotiem jautājumiem par to, kā šādi saraksti precīzi darbojas, varat atrast biežāk uzdotie jautājumi par jautājumniekiem, un paskaidrojums par to, no kurienes informācija šajā vietnē nāk, atrodas vietnē lapā par to, kā tas darbojas.
Nav iestādes, kas jums noteiktu, vai NIS2 attiecas uz jūsu uzņēmumu; tas paliek novērtējums, kas ir jūsu, jūsu juriста vai uzraudzības iestādes pienākums. Tas, ko jūs varat ātri izdarīt, ir pārbaudīt, vai signāli, kurus jūs atpazīstat, atbilst tiešai vai netiešai iesaistīšanai. Ja vēlaties to redzēt pārskatāmi blakus vienu otram, tad varat ar pāris jautājumiem iegūt norādi par to, kur jūs atrodaties, vai mierīgi pārpratīt virsrakstus, kas var attiecināties uz jūsu situāciju.