Spada li vaša organizacija u opseg NIS 2?
Spada li vaša organizacija u opseg NIS 2?
Godine 2016. početna NIS Direktiva upućivala je na 7 ključnih sektora. Od tada je EU proširio svoj pogled na sektore koji se smatraju ključnima za sigurno, učinkovito i djelotvorno društvo. Prema Direktivi NIS2 opseg je stoga značajno proširen s proširenjem na 9 dodatnih sektora. Šesnaest ključnih sektora ukupno sada spadaju u prošireni opseg revidirane NIS2 Direktive.
Pitanja za postaviti
- Pruža li naša tvrtka kritičnu uslugu ili bitnu funkciju izravno krajnjim klijentima ili kao ključni dobavljač koji bi mogao utjecati na javnu sigurnost ili ekonomsku stabilnost, poput onih navedenih ovdje?
- Djeluje li naša tvrtka u sektoru obuhvaćenom NIS2 Direktivom, poput onih koji su ovdje navedeni?
- Je li naša tvrtka smještena izvan EU-a, ali nudi ključne usluge unutar EU-a? Ako je tako, ova se Direktiva odnosi i na vas!
- Primjenjuje li se načelo lex specijalista? (Kada sektorski pravni akt EU-a pruža ekvivalentne zahtjeve kibersigurnosti ili obveze obavješćivanja o incidentima, ti akti specifični za sektor imaju prednost – npr. DORA, PSD2.)
Kritični sektori: Dodatak I. i Dodatak II
Opseg NIS2 pokriven je s dva priloga. Direktiva se primjenjuje i na javne i na privatne subjekte iz Dodatak I. ili II, kao što je prikazano u nastavku. Prilog I navodi sektore visoke kritičnosti, koji mogu biti ili Bitno ili an Važno entiteta ovisno o ukupnom godišnjem prihodu i veličini organizacije.
U Prilogu II navedeni su drugi kritični sektori koje je odredila EU, a koji će spadati samo u kategoriju važnih subjekata.
Kriteriji koji određuju koje tvrtke moraju biti usklađene s NIS 2
Postoje tri opća kriterija koji definiraju koje organizacije moraju biti u skladu s NIS 2:
- Mjesto — ako pružaju usluge ili obavljaju aktivnosti u bilo kojoj zemlji Europske unije (bez obzira imaju li sjedište u EU ili ne), i
- Veličina — ako su kategorizirane kao srednje ili velike organizacije (pogledajte kriterije u odjeljku u nastavku), i
- Industrija — ako djeluju u bilo kojem od 18 sektora navedenih u tablici u nastavku.
Međutim, postoje neke iznimke od ovih pravila — pogledajte tablicu u odjeljku u nastavku za dodatna objašnjenja.
Bitni i važni entiteti
NIS2 kategorizira subjekte unutar svog djelokruga u dvije skupine: 'bitne' i 'važne'. Primarna razlika je da bi prekid usluga od strane subjekata u osnovnoj skupini imao ozbiljne posljedice za društvo u zemlji u cjelini.
Obje grupe moraju se pridržavati istih sigurnosnih mjera. Međutim, subjekti u osnovnoj kategoriji pod proaktivnim su nadzorom, dok se važni subjekti nadziru tek nakon što se prijavi incident neusklađenosti. Organizacije moraju odmah utvrditi spadaju li u opseg i jesu li klasificirane kao bitan ili važan entitet.
“Osnovni subjekti” i “važni subjekti” su ono što NIS 2 naziva tvrtkama i drugim organizacijama koje moraju biti u skladu s NIS 2.
NIS 2 definira bitne entitete na sljedeći način:
- Tvrtke koje su kategorizirane kao velika poduzeća (pogledajte kriterije u sljedećem odjeljku) i nalaze se u jednom od 11 kritičnih sektora (navedenih u donjoj tablici)
- Pružatelji usluga povjerenja
- pružatelji DNS usluga
- Javne elektroničke komunikacijske mreže
- Subjekti javne uprave
- Svaki kritični entitet u skladu s Direktivom o otpornosti kritičnih entiteta (CER) (EU) 2022/2557
- Ostali subjekti koje su odredile države članice
Važni subjekti su sve druge organizacije koje nisu kategorizirane kao bitni subjekti, ali potpadaju pod 3 kriterija spomenuta u prethodnom odjeljku.
Klasifikacija sektora: bitni i važni subjekti
S obzirom na potencijalno zbunjujuće objašnjenje NIS2 iznad, tablica u nastavku pojašnjava koje organizacije moraju biti u skladu s NIS2 i jesu li klasificirane kao bitne ili važne subjekte.
Da dodatno pojasnimo, evo kako EU klasificira tvrtke prema njihovoj veličini:
- Mikro i male organizacije — ako imaju manje od 50 zaposlenih i manje od 10 milijuna eura godišnjeg prihoda.
- Organizacije srednje veličine — ako imaju 50 do 250 zaposlenih i 10 do 50 milijuna eura godišnjeg prihoda.
- Velike organizacije — ako imaju više od 250 zaposlenih i više od 50 milijuna eura godišnjeg prihoda.
