NIS2 ir Kibernetinio saugumo įstatymas: ar tai taikoma Jūsų įmonei?
Nuo 2026 m. rugpjūčio 15 d. Nyderlanduose galioja Kibernetinio saugumo įstatymas. Galbūt terminą NIS2 jau esate girdėję iš kliento, tiekėjo ar konsultanto. Šiame straipsnyje trumpai sužinosite, kas yra šis įstatymas, kam jis taikomas ir ką jis reiškia mažai įmonei, kuriai jis pats savaime netaikomas.
Šiame straipsnyje pateikiamas bendras paaiškinimas, tai nėra teisinė konsultacija. Galiojančias taisykles rasite NCSC svetainėje ir įstatymo tekste.
Kas tai yra?
NIS2 yra 2022 m. Europos direktyva (Direktyva (ES) 2022/2555), kurios tikslas, kad svarbių sektorių organizacijos taptų skaitmeniniu požiūriu atsparesnės. Kiekviena šalis šią direktyvą perkelia į savo nacionalinį įstatymą. Nyderlanduose tai yra Kibernetinio saugumo įstatymas (Cbw). Įstatymas galioja nuo 2026 m. rugpjūčio 15 d., be pereinamojo laikotarpio, ir pakeičia ankstesnį Tinklų ir informacinių sistemų saugumo įstatymą (Wbni). Pagal NCSC duomenis, jis taikomas daugiau nei 8 000 organizacijų. NCSC yra kontaktinis centras šiuo klausimu.
Ar mano įmonei taikomas šis įstatymas?
Tai priklauso nuo dviejų dalykų: Jūsų veiklos sektoriaus ir Jūsų įmonės dydžio.
1. Ar dirbate įstatyme nurodytame sektoriuje?
| 1 priedas | 2 priedas |
|---|---|
| Energetika, transportas, bankininkystė, finansų rinkos infrastruktūra, sveikatos priežiūra, geriamasis vanduo, nuotekos, skaitmeninė infrastruktūra, IRT paslaugų valdymas, viešasis administravimas, kosmoso sektorius | Pašto ir kurjerių paslaugos, atliekų tvarkymas, chemijos pramonė, maisto produktai, gamyba (perdirbimo pramonė), skaitmeninių paslaugų teikėjai, mokslinių tyrimų veikla |
Kai kuriems sektoriams taikomos papildomos sąlygos. Todėl ne kiekviena su maisto produktais susijusi įmonė automatiškai patenka į įstatymo taikymo sritį.
2. Ar Jūsų įmonė pakankamai didelė? Trumpai tariant, įstatymas taikomas vidutinio dydžio ir didelėms organizacijoms. Jums šis įstatymas taikomas, jei:
- Jūs turite 50 ar daugiau darbuotojų (etato ekvivalentu), arba
- Jūs turite mažiau nei 50 darbuotojų, tačiau Jūsų metinė apyvarta ir balanso suma abu viršija 10 milijonų eurų.
Įskaičiuojamos ir partnerių, bei susijusios įmonės. Todėl 20 darbuotojų turinti įmonė, priklausanti 200 darbuotojų grupei, vis tiek gali patekti į įstatymo taikymo sritį.
Išimtys, nepriklausomai nuo dydžio. Kelių rūšių organizacijoms šis įstatymas taikomas visada, kad ir kokios mažos jos būtų. Pavyzdžiui, DNS paslaugų teikėjams, aukščiausio lygio domenų registrams, viešųjų elektroninių ryšių tinklų ir paslaugų teikėjams, patikimumo užtikrinimo paslaugų teikėjams ir viešojo administravimo institucijoms. Jei esate paskirtas pagal Ypatingos svarbos subjektų atsparumo įstatymą, Jums taip pat taikomas Kibernetinio saugumo įstatymas.
Patikrinkite patys su savęs vertinimo priemone
Rijksinspectie Digitale Infrastructuur (RDI, Nyderlandų valstybinė skaitmeninės infrastruktūros inspekcija) siūlo nemokamą NIS2 savęs vertinimo priemonę. Atsakote į klausimus apie savo sektorių, dydį ir paslaugas ir gaunate rezultatą. Iš rezultato taip pat paaiškėja, ar esate esminis, ar svarbus subjektas. Skirtumas yra visų pirma priežiūroje: esminių subjektų atveju priežiūros institucija gali tikrinti ir savo iniciatyva, o svarbių subjektų atveju tikrinama daugiausia po fakto. Ar Jūsų įmonė priklauso grupei arba veikia keliose šalyse? Tuomet gali padėti NCSC parengtas sudėtingų verslo modelių gidas.
Ką reikia daryti, jei įstatymas Jums taikomas?
- Registracija. Savo organizaciją registruojate per MijnNCSC.
- Rūpestingumo pareiga. Atliekate rizikos analizę ir imatės tinkamų bei proporcingų priemonių. NCSC nurodo bent dešimt sričių, tarp jų incidentų valdymą, atsargines kopijas ir atkūrimą, tiekimo grandinės saugumą, mokymus, atnaujinimus, prieigos valdymą, kelių faktorių autentifikavimą ar prieigos raktus (passkeys), šifravimą bei priemonių veiksmingumo tikrinimą. Valdyba tvirtina priemones ir vykdo priežiūrą.
- Pranešimo pareiga. Apie reikšmingą incidentą pranešate per MijnNCSC: per 24 valandas pateikiamas pirminis įspėjimas, per 72 valandas, pranešimas su pirminiu sunkumo ir poveikio vertinimu, o per mėnesį, galutinė ataskaita.
Šis pranešimas yra atskiras nuo BDAR numatytos pareigos pranešti apie asmens duomenų saugumo pažeidimus. Pastaroji taikoma visiems, kurie tvarko asmens duomenis, įskaitant individualią veiklą vykdančius asmenis, ir apie tokius pažeidimus pranešama Autoriteit Persoonsgegevens (Nyderlandų asmens duomenų apsaugos institucijai). Todėl apie ataką, kurios metu buvo pavogti ir klientų duomenys, gali reikėti pranešti abiem institucijoms.
Jei įstatymas Jums netaikomas, tiekimo grandinė vis tiek gali Jus paveikti
Daugumai mažų įmonių šis įstatymas netaikomas. Tokiu atveju Jums nėra registracijos pareigos, pareigos pranešti NCSC ir priežiūros. Tačiau organizacijos, kurioms įstatymas taikomas, taip pat privalo atsižvelgti į riziką, susijusią su jų tiesioginiais tiekėjais ir paslaugų teikėjais. Pasak NCSC, įstatymas pačiams tiekėjams tiesioginių pareigų nenustato, tačiau klientai gali kelti reikalavimus savo tiekėjų skaitmeniniam saugumui. Šie reikalavimai dažniausiai įtraukiami į sutartį arba klausimyną.
Ar teikiate paslaugas didesnei organizacijai, pavyzdžiui, kaip svetainių kūrėjas, IT administratorius ar apskaitos biuras? Tuomet galite sulaukti tokių klausimų: ar naudojate dviejų veiksnių autentifikavimą, kas turi prieigą prie mūsų duomenų, kur saugomos atsarginės kopijos ir kaip greitai pranešate apie incidentą?
- Reikalavimai turi būti proporcingi Jūsų teikiamos paslaugos rizikai. Tiekėjui, turinčiam prieigą prie sistemų, keliami griežtesni reikalavimai nei, pavyzdžiui, pietus atvežančiam kepėjui.
- Kalbama apie tiesioginius tiekėjus. Jūsų tiekėjų tiekėjai į šią sritį nepatenka.
- Sertifikato įstatymas nereikalauja. Jis gali padėti pokalbyje, tačiau nėra garantija.
- Pradėkite laiku: įvertinkite, kokių priemonių jau imatės, ir susitarimus su klientu užfiksuokite raštu.