NIS2 ir Kibernetinio saugumo įstatymas (Cyberbeveiligingswet): ar jie taikomi mano įmonei?

Nuo 2026 m. rugpjūčio 15 d. Nyderlanduose galioja Kibernetinio saugumo įstatymas (Cbw). Galbūt terminą NIS2 jau girdėjote iš kliento, tiekėjo ar konsultanto. Šiame straipsnyje trumpai paaiškiname, kas tai per įstatymas, kam jis taikomas ir ką jis reiškia mažai įmonei, kuriai jis tiesiogiai netaikomas.

Šis straipsnis pateikia bendrą paaiškinimą ir nėra teisinė konsultacija. Aktualias taisykles rasite NCSC svetainėje ir įstatymo tekste.

Kas tai yra?

NIS2 yra 2022 m. Europos direktyva (Direktyva (ES) 2022/2555), kuria siekiama sustiprinti svarbių sektorių organizacijų skaitmeninį atsparumą. Kiekviena šalis direktyvą perkelia į savo nacionalinį įstatymą. Nyderlanduose tai yra Kibernetinio saugumo įstatymas (Cbw). Įstatymas galioja nuo 2026 m. rugpjūčio 15 d., be pereinamojo laikotarpio, ir pakeičia ankstesnį Tinklų ir informacinių sistemų saugumo įstatymą (Wbni). Pasak NCSC, jis taikomas daugiau nei 8.000 organizacijų. NCSC yra kontaktinis centras.

Ar įstatymas taikomas mano įmonei?

Tai priklauso nuo dviejų klausimų: Jūsų sektoriaus ir Jūsų įmonės dydžio.

1. Ar dirbate įstatyme nurodytame sektoriuje?

Kai kuriems sektoriams taikomos papildomos sąlygos. Todėl ne kiekviena įmonė, kuri kaip nors susijusi su maisto produktais, automatiškai patenka į įstatymo taikymo sritį.

2. Ar Jūsų įmonė pakankamai didelė? Trumpai tariant, įstatymas taikomas vidutinėms ir didelėms organizacijoms. Jūsų įmonė įskaičiuojama, jei:

• turite 50 ar daugiau darbuotojų (etato ekvivalentu), arba
• turite mažiau nei 50 darbuotojų, tačiau Jūsų metinė apyvarta ir balanso suma abi viršija 10 milijonų eurų.

Įskaičiuojamos ir partnerinės bei susijusios įmonės. Todėl įmonei, turinčiai 20 darbuotojų ir priklausančiai 200 darbuotojų grupei, įstatymas vis tiek gali būti taikomas.

Išimtys, nepriklausomai nuo dydžio. Kai kurioms organizacijų rūšims įstatymas taikomas visada, kad ir kokios mažos jos būtų. Pavyzdžiui, DNS paslaugų teikėjams, aukščiausiojo lygio domenų registrams, viešųjų elektroninių ryšių tinklų ir paslaugų teikėjams, patikimumo užtikrinimo paslaugų teikėjams ir viešojo administravimo institucijoms. Jei esate paskirti pagal Ypatingos svarbos subjektų atsparumo įstatymą, Jums taip pat taikomas Kibernetinio saugumo įstatymas.

Savarankiškas patikrinimas naudojant savęs vertinimą

Nyderlandų skaitmeninės infrastruktūros inspekcija (RDI) siūlo nemokamą NIS2 savęs vertinimą. Atsakote į klausimus apie savo sektorių, dydį ir paslaugas ir gaunate rezultatą. Iš jo taip pat matyti, ar esate esminis, ar svarbus subjektas. Skirtumas daugiausia susijęs su priežiūra: esminius subjektus priežiūros institucija gali tikrinti ir savo iniciatyva, o svarbius subjektus daugiausia tikrina post factum. Ar Jūsų įmonė priklauso grupei, ar veikiate keliose šalyse? Tuomet Jums padės NCSC sudėtingų verslo modelių gairės.

Ką turite daryti, jei įstatymas Jums taikomas?

• Užsiregistruoti. Savo organizaciją užregistruojate per MijnNCSC.
• Rūpestingumo pareiga. Atliekate rizikos analizę ir taikote tinkamas bei proporcingas priemones. NCSC nurodo bent dešimt sričių, tarp jų incidentų valdymą, atsargines kopijas ir atkūrimą, tiekimo grandinės saugumą, mokymus, atnaujinimus, prieigos valdymą, kelių veiksnių autentifikavimą arba passkeys, šifravimą ir tikrinimą, ar Jūsų priemonės veikia. Vadovybė patvirtina priemones ir prižiūri jų įgyvendinimą.
• Pranešimo pareiga. Apie reikšmingą incidentą pranešate per MijnNCSC: per 24 valandas pateikiate išankstinį įspėjimą, per 72 valandas pranešimą su pirminiu sunkumo ir poveikio įvertinimu, o per mėnesį galutinę ataskaitą.

Šis pranešimas nesusijęs su BDAR numatyta pareiga pranešti apie duomenų saugumo pažeidimus. Pastaroji taikoma visiems, kurie tvarko asmens duomenis, taip pat ir savarankiškai dirbantiems asmenims, o pranešama Nyderlandų asmens duomenų apsaugos priežiūros institucijai (Autoriteit Persoonsgegevens). Kada incidentas laikomas duomenų saugumo pažeidimu ir ar apie jį reikia pranešti, skaitykite straipsnyje Ar tai duomenų saugumo pažeidimas ir ar turiu apie jį pranešti? Todėl apie ataką, kurios metu buvo pavogti ir klientų duomenys, gali tekti pranešti abiem institucijoms.

Įstatymas Jums netaikomas? Tiekimo grandinė vis tiek gali Jus paveikti

Daugumai mažų įmonių įstatymas netaikomas. Tuomet Jums netaikoma registracijos pareiga, pareiga pranešti NCSC ir priežiūra. Tačiau organizacijos, kurioms įstatymas taikomas, privalo atsižvelgti ir į rizikas, susijusias su jų tiesioginiais tiekėjais bei paslaugų teikėjais. Pasak NCSC, įstatymas pačių tiekėjų neįpareigoja, tačiau klientai gali kelti reikalavimus jų skaitmeniniam saugumui. Tokie reikalavimai įtraukiami į sutartį arba klausimyną.

Ar teikiate paslaugas didesnei organizacijai, pavyzdžiui, kaip svetainių kūrėjas, IT administratorius ar apskaitos biuras? Tuomet galite sulaukti tokių klausimų: ar naudojate dviejų veiksnių autentifikavimą, kas turi prieigą prie mūsų duomenų, kur saugomos atsarginės kopijos ir kaip greitai pranešate apie incidentą?

• Reikalavimai turi būti tinkami atsižvelgiant į Jūsų paslaugos riziką. Tiekėjui, turinčiam prieigą prie sistemų, keliami griežtesni reikalavimai nei kepėjui, atvežančiam pietus.
• Kalbama apie tiesioginius tiekėjus. Jūsų tiekėjų tiekėjai į šią sritį nepatenka.
• Sertifikato įstatymas nereikalauja. Jis gali padėti pokalbyje, tačiau nėra garantija.
• Pradėkite laiku: įvertinkite, kokias priemones jau taikote, ir susitarimus su klientu įforminkite raštu.

Daugiau informacijos

• NCSC: Kibernetinio saugumo įstatymas (NIS2)
• NCSC: Ar mano organizacijai taikomas Kibernetinio saugumo įstatymas?
• NCSC: Rūpestingumo pareiga
• NCSC: Pranešimo pareiga
• NCSC: Kibernetinio saugumo įstatymas ir tiekėjai
• RDI: NIS2 savęs vertinimas
• Kibernetinio saugumo įstatymo tekstas

Norite sužinoti daugiau? Išklausykite nemokamą kursą „Saugiai internete verslininkams“, pamoką 9.1 NIS2 ir Kibernetinio saugumo įstatymas.