NIS2 este directiva europeană care stabilește cerințe privind securitatea cibernetică la organizațiile din anumite sectoare. Dacă directiva se aplică direct pentru afacerea dumneavoastră depinde de două aspecte: sectorul în care sunteți activ și dimensiunea întreprinderii dumneavoastră. Dacă nu vă încadrați în această combinație, probabil că nu sunteți o grupă țintă directă a directivei, dar asta nu înseamnă că NIS2 nu vă va afecta niciodată.
Multe afaceri care în sine nu cad sub domeniu de aplicare, totuși primesc întrebări privind securitatea cibernetică de la un client care cade sub NIS2. Acel client trebuie să demonstreze că întregul lanț este suficient securizat și, prin urmare, trimite un chestionar către furnizori. În acest caz, directiva nu se aplică pentru dumneavoastră, dar se aplică acordul contractual pe care clientul dumneavoastră îl stabilește în legătură cu acesta.
Sectorul și dimensiunea determină obligația directă
Directiva se concentrează pe ceea ce numește entități "esențiale" și "importante": organizații din sectoare precum energie, transport, apă potabilă, infrastructură digitală, servicii bancare și sănătate, completate cu alte sectoare enumerate în directiva însăși. În plus, se aplică criterii de dimensiune, care pot varia în funcție de sector și categorie. O mică afacere de instalații fără rol într-unul din aceste sectoare, în regulă, nu cade sub aplicarea directă a NIS2. Lista exactă de sectoare și modul în care statele membre au transpus aceasta în legislația națională, îl găsiți în textul oficial și la autoritatea de supraveghere desemnată în țara dumneavoastră; în Olanda este aceasta Rijksinspectie Digitale Infrastructuur.
De asemenea în afara sectorului: întrebarea clientului dumneavoastră
O afacere care cade sub NIS2 trebuie, printre altele, să evalueze cât de securizate sunt organizațiile cu care colaborează. Aceasta se numește risc de lanț sau risc de furnizor, iar directiva menționează aceasta în mod explicit ca punct de atenție. În practică, asta se traduce într-un chestionar sau o prevedere contractuală la clientul dumneavoastră: aveți un punct de contact pentru incidente, raportați o încălcare de date într-un termen anumit, aveți reglementat controlul accesului. Acestea sunt adesea același fel de măsuri ca și cele zece pe care directiva însăși le menționează pentru afacerile care cad direct sub aceasta. Mai multe despre ceea ce înseamnă exact acele întrebări și cum se raportează la obligațiile existente cum ar fi GDPR, puteți citi în explicația pe subiect în baza de cunoștințe.
Cum verificați acest lucru pentru dumneavoastră
Dacă NIS2 se aplică direct pentru dumneavoastră este o întrebare de fapt pe care o puteți răspunde cel mai bine pe baza clasificării oficiale a sectorului și a criteriilor de dimensiune așa cum au fost transpuse în țara dumneavoastră. Dacă aveți îndoieli, autoritatea de supraveghere competentă sau un jurist este partida indicată pentru a face această evaluare; acest articol nu poate înlocui acea evaluare. Ceea ce puteți verifica rapid singuri este dacă primiți semnale care indică o implicare indirectă: un client care tocmai a trimis un chestionar privind securitatea cibernetică, un contract care face referire la obligații de raportare, sau o licitație în care se solicită măsuri de securitate. Acestea sunt indicii practice, nu o hotărâre juridică.
Ce se întâmplă dacă totuși primiți întrebări, indiferent de obligația directă
Indiferent dacă cadeți direct sub NIS2 sau numai prin intermediul unui client cu consecințele acestuia, chestionarul în sine nu se schimbă prea mult: vi se cere să descrieți ce măsuri ați luat și să o fundamentați. Aceasta se suprapune adesea cu ceea ce ați documentat deja în alte scopuri, cum ar fi controlul accesului pentru GDPR sau proceduri de urgență pentru continuitatea afacerii. Această suprapunere este ceea ce face ca afacerile să trebuie să furnizeze din nou și din nou același fel de documente de susținere, într-un format ușor diferit. Răspunsuri la întrebări frecvente despre cum funcționează exact acest fel de chestionare, le găsiți în întrebările frecvente despre chestionare, iar o explicație privind provenienţa informaţiilor de pe acest site se găseşte pe pagina despre cum funcționează.
Nu există o instituţie care să determine pentru dumneavoastră dacă NIS2 se aplică asupra întreprinderii dumneavoastră; aceasta rămâne o evaluare care vă revine vouă, juristului dumneavoastră sau autorităţii de supraveghere. Ceea ce puteţi face rapid, totuşi, este să verificaţi dacă semnalele pe care le recunoaşteţi se potrivesc cu o implicare directă sau indirectă. Doriţi să vedeţi aceasta clar una lângă cealaltă, atunci puteţi în câteva întrebări obţineţi o indicaţie a locului în care vă aflaţi, sau puteţi examina calm subiectele care se pot aplica situaţiei dumneavoastră.