NIS2 to europejska dyrektywa, która stawia wymagania dotyczące cyberbezpieczeństwa w organizacjach w określonych sektorach. Czy dyrektywa dotyczy bezpośrednio Państwa firmy, zależy od dwóch czynników: sektora, w którym Państwo działają, oraz wielkości Państwa przedsiębiorstwa. Jeśli nie spełniacie tej kombinacji, to najprawdopodobniej nie jesteście bezpośrednią grupą docelową dyrektywy, ale to nie znaczy, że NIS2 nigdy Was nie dotknie.
Wiele firm, które samo znajduje się poza zakresem stosowania, otrzymuje jednak pytania dotyczące cyberbezpieczeństwa od klienta, który podlega NIS2. Klient ten musi wykazać, że cały jego łańcuch dostaw jest wystarczająco zabezpieczony, i dlatego wysyła kwestionariusz do dostawców. W takim przypadku dyrektywa do Państwa nie dotyczy, ale dotyczy umowna umowa, którą Państwa klient do niej wiąże.
Sektor i wielkość określają bezpośredni obowiązek
Dyrektywa skupia się na tym, co określa mianem "zasadniczych" i "ważnych" podmiotów: organizacje w sektorach takich jak energia, transport, wodociągi, infrastruktura cyfrowa, bankowość i ochrona zdrowia, uzupełnione kilkoma innymi sektorami wymienionymi w samej dyrektywie. Dodatkowo obowiązują kryteria wielkości, które mogą się różnić w zależności od sektora i kategorii. Mała firma instalacyjna bez roli w żadnym z tych sektorów zwykle nie podlega bezpośredniemu działaniu NIS2. Dokładną listę sektorów i sposób, w jaki państwa członkowskie wdrożyły to w ustawodawstwo krajowe, można znaleźć w oficjalnym tekście i u nadzorcy wyznaczonego w Państwa kraju; w Holandii jest to Rijksinspectie Digitale Infrastructuur.
Również poza sektorem: pytanie Państwa klienta
Firma, która faktycznie podlega dyrektywie NIS2, musi między innymi ocenić, jak bezpieczne są organizacje, z którymi współpracuje. Zjawisko to nazywane jest ryzykiem łańcucha dostaw lub ryzykiem dostawcy, a dyrektywa wymienia je wyraźnie jako punkt godny uwagi. W praktyce przekłada się to na listę pytań lub zastrzeżenie umowne u Waszego klienta: czy mają Państwo osobę kontaktową ds. incydentów, czy zgłaszają Państwo naruszenie danych w określonym terminie, czy mają Państwo ustalone zarządzanie dostępem. Są to często te same rodzaje środków, co dziesięć, które sama dyrektywa wymienia dla firm, które bezpośrednio jej podlegają. Więcej informacji na temat tego, co dokładnie oznaczają te pytania i jak odnoszą się do istniejących obowiązków, takich jak RODO, można znaleźć w wyjaśnieniach dotyczących poszczególnych zagadnień w bazie wiedzy.
Jak to sprawdzić dla siebie
To, czy dyrektywa NIS2 bezpośrednio do Pani/Pana stosuje się, to pytanie faktyczne, na które najlepiej można odpowiedzieć, opierając się na oficjalnym podziale sektora i kryteriach wielkości, tak jak zostały one wdrożone w Pani/Pana kraju. Jeśli mają Państwo wątpliwości, to właściwy organ nadzorczy lub prawnik to odpowiednia strona do dokonania tej oceny; niniejszy artykuł nie może jej zastąpić. To, co sami Państwo mogą szybko sprawdzić, to czy otrzymują Państwo sygnały wskazujące na pośrednie zaangażowanie: klient, który właśnie wysłał listę pytań dotyczących cyberbezpieczeństwa, umowę, która odwołuje się do obowiązków zgłoszeniowych, lub postępowanie o udzielenie zamówienia, w którym żądane są środki bezpieczeństwa. To praktyczne wskaźniki, a nie ocena prawna.
Co jeśli jednak otrzymują Państwo pytania, niezależnie od bezpośredniego obowiązku
Niezależnie od tego, czy bezpośrednio podlegają Państwo dyrektywie NIS2, czy tylko za pośrednictwem klienta muszą się zmierzyć z jej skutkami, sama lista pytań nie zmienia się wiele: proszeni są Państwo o opisanie, jakie środki podjęli Państwo, i uzasadnienie tego. Często pokrywa się to z tym, co już Państwo udokumentowali w innych celach, takich jak zarządzanie dostępem do RODO lub procedury awaryjne na wypadek przerwania działalności. To właśnie ta zbieżność powoduje, że firmy muszą wielokrotnie dostarczać ten sam rodzaj dokumentów, każdorazowo w innym formacie. Odpowiedzi na często zadawane pytania dotyczące tego, jak dokładnie działają tego typu listy, można znaleźć w często zadawane pytania dotyczące kwestionariuszy, a wyjaśnienie na temat źródła informacji na tej stronie znajduje się w stronie dotyczącej sposobu działania.
Nie ma instytucji, która by dla Pana/Pani ustalała, czy dyrektywa NIS2 ma zastosowanie do Pana/Pani przedsiębiorstwa; to pozostaje ocena, która spoczywa na Panu/Pani, Pana/Pani prawnikowi lub organowi nadzoru. Co możliwy Pan/Pani może szybko zrobić, to sprawdzić, czy sygnały, które Pan/Pani rozpoznaje, pasują do bezpośredniego lub pośredniego zaangażowania. Jeśli chciałby Pan/Pani to zobaczyć przejrzyście obok siebie, to może Pan/Pani w kilku pytaniach uzyskać wskazanie na temat własnej sytuacji, lub spokojnie przejrzeć zagadnienia, które mogą mieć zastosowanie do Pana/Pani sytuacji.