Koga zadeva NIS2

NIS2 (Direktiva EU 2022/2555) razširja krog zavezancev glede na prejšnjo NIS direktivo in v Sloveniji jo v nacionalno zakonodajo prenaša Zakon o informacijski varnosti (ZInfV). Zavezanci so razdeljeni na bistvene in pomembne subjekte – razlika vpliva predvsem na nadzor in sankcije, obveznosti upravljanja tveganj in poročanja incidentov pa veljajo za oboje.

CISOaaS pomaga preveriti, ali organizacija sodi v obseg NIS2, na kateri podlagi, in kaj to pomeni v praksi za vodstvo, IT ekipo in dobavitelje.

Kateri sektorji so zajeti?

NIS2 loči sektorje visoke kritičnosti od drugih kritičnih sektorjev. Meja med njima vpliva na strogost nadzora, obseg obveznosti pa je v osnovi podoben.

• Sektorji visoke kritičnosti: energetika, promet, bančništvo, infrastruktura finančnega trga, zdravstvo, pitna in odpadna voda, digitalna infrastruktura, upravljanje IKT storitev, javna uprava, vesolje
• Drugi kritični sektorji: poštne in kurirske storitve, ravnanje z odpadki, proizvodnja in distribucija kemikalij, proizvodnja in distribucija hrane, proizvodnja (medicinski pripomočki, elektronika, stroji, vozila), ponudniki digitalnih storitev, raziskovalne organizacije

Kdaj šteje tudi velikost podjetja?

Praviloma NIS2 zajema srednja in velika podjetja v naštetih sektorjih. Nekatere organizacije so zavezane ne glede na velikost – na primer edini ponudnik ključne storitve v državi, subjekti javne uprave ali organizacije s posebnim pomenom za javni red in nacionalno varnost. Za slovenska podjetja je natančna meja določena v ZInfV, zato je konkretna presoja vedno smiselna, ne samo primerjava s splošnim pravilom.

Zakaj je presoja zavezanosti pomembna?

Napačna ocena ima dve tveganji: podjetje, ki je zavezanec, pa tega ne prepozna, tvega sankcije in odgovornost vodstva; podjetje, ki ni zavezanec, pa vloži čas v neustrezen obseg ukrepov. Jasna presoja na začetku prihrani čas in usmeri vire na prava tveganja.

Presoja je pomembna tudi za organizacije, ki same niso neposredni zavezanci, a so pomemben dobavitelj zavezancu – NIS2 namreč krepi zahteve po varnosti dobavne verige.

Kako poteka presoja pri CISOaaS?

Najprej pregledamo dejavnost, sektor, velikost in vlogo organizacije v dobavni verigi. Nato preverimo, ali gre za bistveni ali pomemben subjekt, in katere obveznosti iz tega izhajajo – upravljanje tveganj, priglasitev incidentov, odgovornost vodstva, varnost dobavne verige.

Po presoji pripravimo kratko poročilo z jasnim odgovorom in, če je organizacija zavezanec, priporočenimi naslednjimi koraki: GAP analizo, časovni načrt in prioritete ukrepov.

Primer iz prakse

Srednje veliko podjetje v digitalni infrastrukturi ni bilo prepričano, ali NIS2 zanj velja, ker ni neposredno v javnem sektorju. Po presoji se je izkazalo, da sodi med pomembne subjekte zaradi dejavnosti in velikosti. CISOaaS je pripravil obseg obveznosti, prioritetni seznam ukrepov in časovnico do veljavnega roka, tako da je vodstvo dobilo jasen načrt namesto splošnih priporočil.

Kaj storiti, če niste prepričani?

Če dvomite, ali NIS2 zadeva vašo organizacijo, je bolje preveriti prej kot pozneje. Pripravite osnovne podatke: dejavnost, število zaposlenih, letni promet, ključne storitve in največje poslovne partnerje. Na tej podlagi lahko hitro naredimo prvo oceno in predlagamo naslednji korak.

Povezane vsebine

Za boljši kontekst priporočamo tudi: NIS2, NIS2 zavezanci – samoocena po korakih, NIS2 checklist, NIS2 roadmap, Kaj je NIS2, NIS2 za mala in srednja podjetja, Koga zadeva ZInfV-1, kontakt.

Pogosta vprašanja

Ali NIS2 velja tudi za majhna podjetja?

Praviloma NIS2 zajema srednja in velika podjetja, majhna podjetja pa običajno ne, razen izjem (na primer edini ponudnik ključne storitve). Manjši dobavitelji zavezancev lahko posredno čutijo zahteve NIS2 prek pogodbenih obveznosti.

Kaj, če smo dobavitelj zavezanca, sami pa nismo v seznamu sektorjev?

NIS2 krepi zahteve po varnosti dobavne verige, zato lahko zavezanec od vas kot dobavitelja zahteva določena zagotovila ali dokazila, tudi če sami niste neposredno zavezanec.

Kako CISOaaS pomaga pri presoji?

Pregledamo dejavnost, velikost in vlogo vaše organizacije, podamo jasen odgovor o zavezanosti in, če je potrebno, pripravimo GAP analizo ter časovni načrt za skladnost.