Kogo dotyczy NIS2? Sektory, wielkość i rodzaje podmiotów

Co to jest

NIS2 (dyrektywa (UE) 2022/2555) wymienia objęte sektory w dwóch załącznikach. Załącznik I obejmuje sektory o wysokim stopniu krytyczności: energetykę, transport, bankowość, infrastrukturę rynków finansowych, ochronę zdrowia, wodę pitną, ścieki, infrastrukturę cyfrową, zarządzanie usługami ICT (między przedsiębiorstwami), administrację publiczną oraz przestrzeń kosmiczną. Załącznik II obejmuje inne sektory krytyczne: usługi pocztowe i kurierskie, gospodarowanie odpadami, produkcję i dystrybucję chemikaliów, produkcję i dystrybucję żywności, produkcję określonych wyrobów (takich jak wyroby medyczne, komputery i elektronika, urządzenia elektryczne, maszyny i pojazdy), dostawców usług cyfrowych (internetowe platformy handlowe, wyszukiwarki internetowe i platformy serwisów społecznościowych) oraz badania naukowe. Co do zasady dyrektywa ma zastosowanie do średnich i dużych organizacji w tych sektorach; zgodnie z unijną definicją MŚP organizacja jest, ogólnie rzecz biorąc, co najmniej średnia, jeśli zatrudnia 50 lub więcej pracowników albo jeśli zarówno jej roczny obrót, jak i suma bilansowa przekraczają 10 mln EUR. Niektóre podmioty są objęte dyrektywą niezależnie od wielkości, na przykład niektórzy dostawcy publicznych usług łączności elektronicznej, dostawcy usług zaufania, dostawcy usług DNS i rejestry nazw domen najwyższego poziomu, a państwa członkowskie mogą wyznaczać kolejne. Objęte organizacje są klasyfikowane jako podmioty kluczowe lub ważne. Ogólnie rzecz biorąc, duże organizacje z sektorów z załącznika I są podmiotami kluczowymi, a średnie organizacje z załącznika I oraz organizacje z załącznika II są podmiotami ważnymi, z zastrzeżeniem zasad niezależnych od wielkości i wyznaczenia krajowego. Klasyfikacja wpływa na nadzór i sankcje, a nie na podstawowe oczekiwane środki.

Dla kogo

Ten przewodnik jest przydatny dla:

• Menedżerów średnich firm z branży produkcyjnej, logistycznej, usług cyfrowych, spożywczej, chemicznej lub łańcuchów dostaw związanych z ochroną zdrowia
• Dostawców usług zarządzanych i ICT pracujących dla klientów biznesowych
• Dostawców podmiotów objętych dyrektywą, którzy otrzymują kwestionariusze bezpieczeństwa
• Grup działających w kilku państwach członkowskich UE, które potrzebują spójnego obrazu

Co pomaga wyjaśnić

Przegląd struktury zakresu pomaga wyjaśnić:

• Czy którakolwiek z Państwa działalności odpowiada sektorowi z załącznika I lub II
• Czy spełniają Państwo próg wielkości albo należą do kategorii objętej dyrektywą niezależnie od wielkości
• Prawo krajowe i organy których państw członkowskich są istotne
• Czy Państwa obowiązki są bezpośrednie, czy wynikają pośrednio z umów z klientami

Co jest zawarte

• Sporządzić listę wszystkich rodzajów działalności i linii usług, a nie tylko główny opis działalności
• Porównać każdą działalność z opisami sektorów w załącznikach I i II
• Sprawdzić zatrudnienie, obrót i sumę bilansową, uwzględniając strukturę grupy oraz przedsiębiorstwa partnerskie lub powiązane, zgodnie z unijną definicją MŚP
• Wskazać każde państwo członkowskie, w którym świadczą Państwo objęte usługi lub mają jednostki
• Sprawdzić krajową ustawę transponującą i wytyczne organów w każdym istotnym kraju
• Zapisać wynik, uzasadnienie i datę oraz przeglądać je przy zmianach w działalności
• Jeśli nie podlegają Państwo dyrektywie, sporządzić listę klientów, którzy jej podlegają, i przekazywanych przez nich wymagań bezpieczeństwa

Co nie jest uwzględnione

• Prawnego rozstrzygnięcia, czy NIS2 ma zastosowanie do Państwa organizacji
• Wykładni konkretnej krajowej ustawy transponującej
• Rejestracji w organach w Państwa imieniu
• Certyfikacji ani zatwierdzenia zgodności

Kiedy to wybrać

Z tego przewodnika warto skorzystać wcześnie, przed zainwestowaniem w duży program, a także za każdym razem, gdy wchodzą Państwo do nowego sektora lub kraju, przejmują firmę albo przekraczają próg wielkości. Jeśli odpowiedź jest niejasna, na przykład dlatego, że działalność znajduje się na granicy opisu sektora, należy zasięgnąć porady prawnej zamiast przyjmować założenia. Nawet organizacje, które nie podlegają dyrektywie bezpośrednio, często zyskują na przygotowaniu, ponieważ objęci nią klienci muszą zarządzać ryzykiem w swoim łańcuchu dostaw. Ten artykuł ma charakter informacji ogólnej i nie stanowi porady prawnej.

Nasze podejście

Zakres warto traktować jako udokumentowaną decyzję, a nie szybkie „tak” lub „nie”. Najpierw należy zebrać fakty: rodzaje działalności, dane o wielkości, strukturę grupy i kraje. Następnie z tymi dowodami warto zwrócić się do doradców prawnych. Równolegle należy przyjrzeć się środkom bezpieczeństwa oczekiwanym przez NIS2; odzwierciedlają one powszechnie uznane dobre praktyki, więc ich doskonalenie jest przydatne niezależnie od odpowiedzi na pytanie o zakres. Nasza usługa Security Baseline Review może zapewnić pisemny obraz uzgodnionych zasobów i obserwacje ocenione według istotności, wraz z obserwacjami dotyczącymi luk w gotowości względem uzgodnionego punktu odniesienia, jeśli zostały uwzględnione w potwierdzonym zakresie. Takie dowody mogą wspierać rozmowy z klientami, kierownictwem i doradcami. Jest to materiał wspierający decyzje, który pomaga przygotować konkretne pytania dla doradców prawnych oraz, w stosownych przypadkach, jednostek certyfikujących. Jeśli są Państwo dostawcą, warto zapytać klientów objętych dyrektywą, które konkretne zabezpieczenia mają Państwo wykazać, i nadać im priorytet.

Security Baseline Review

Często zadawane pytania

Artykuły pokrewne