NIS2 та кібербезпека

Вирішальною є комбінація галузі та розміру — закон охоплює галузі від енергетики й транспорту через виробництво окремих продуктів до цифрових послуг, як правило, за умови досягнення розміру середнього підприємства. Якщо підприємство має менше ніж 50 працівників, для перевищення межі малого підприємства необхідно перевищити 10 мільйонів € як за оборотом, так і за підсумком балансу, з урахуванням правил щодо партнерських і пов’язаних підприємств. На деяких суб’єктів закон поширюється незалежно від розміру. Додаток до закону є об’ємним, а тлумачення галузей не завжди інтуїтивне — саме для цього призначена наша оцінка з письмовим висновком.

Зареєструватися в Національному управлінні безпеки, запровадити належні заходи безпеки, включно з управлінням ризиками ланцюга постачання, повідомляти про серйозні кіберінциденти в установлені законом строки та довести, що безпекою управляє керівництво компанії. Обсяг відрізняється залежно від категорії суб’єкта — після оцінки ви отримаєте конкретний перелік для своєї компанії.

Адресатом обов’язків є компанія, однак керівництво не звільняється від своєї ролі, делегувавши це питання IT-відділу. Закон вимагає визначити конкретну особу, відповідальну за затвердження заходів безпеки, нагляд, контроль, аудит і навчання (§ 20 ч. 4 п. h) Закону № 69/2018 Z. z.), а виконавча постанова NBÚ вимагає навчання для всіх робочих ролей так, щоб належну обізнаність мав і статутний орган; окремого обов’язку статутного органу пройти навчання закон не встановлює. У разі критичної базової послуги орган може після невиконання його вимоги заборонити члену статутного органу виконувати функцію. Частиною нашої роботи є визначення розподілу завдань так, щоб він був належно закріплений у документації, — саме це цікавитиме орган під час перевірки.

Ваш замовник повинен управляти ризиками свого ланцюга постачання — на практиці у ваших договорах з’являться вимоги безпеки, аудити та обов’язок повідомляти про інциденти. Ми допоможемо вам оцінити вимоги, узгодити пропорційний обсяг і налаштувати внутрішні процеси так, щоб ви не втратили замовлення.

Закон передбачає штрафи, які за серйозні порушення сягають сотень тисяч євро або можуть визначатися як відсоток від обороту, — точний розмір залежить від категорії суб’єкта та виду порушення. Конкретні діапазони для вашої ситуації ми покажемо під час оцінки; однак важливіше те, що орган може також зобов’язати вжити коригувальних заходів, які суттєво вплинуть на діяльність.