Ali vaša organizacija spada v obseg NIS 2?
Ali vaša organizacija spada v obseg NIS 2?
Leta 2016 se je prva direktiva NIS sklicevala na 7 ključnih sektorjev. Od takrat je EU razširila svoj pogled na sektorje, ki so ključni za varno, učinkovito in uspešno družbo. V skladu z direktivo NIS2 se je področje uporabe zato znatno razširilo z razširitvijo na 9 dodatnih sektorjev. Šestnajst ključnih sektorjev skupaj zdaj spadajo v razširjeno področje uporabe revidirane direktive NIS2.
Vprašanja
- Ali naše podjetje zagotavlja kritično storitev ali bistveno funkcijo neposredno končnim strankam ali kot ključni dobavitelj, ki bi lahko vplival na javno varnost ali gospodarsko stabilnost, kot so tiste, ki so navedene tukaj?
- Ali naše podjetje deluje v sektorju, ki ga zajema direktiva NIS2, kot so tisti, ki so navedeni tukaj?
- Ali ima naše podjetje sedež zunaj EU, vendar ponuja ključne storitve znotraj EU? Če je tako, ta direktiva velja tudi za vas!
- Ali velja načelo lex specialist? (Kadar sektorski pravni akt EU določa enakovredne zahteve glede kibernetske varnosti ali obveznosti obveščanja o incidentih, imajo ti sektorski akti prednost – npr. DORA, PSD2.)
Kritični sektorji: Priloga I in Priloga II
Področje uporabe NIS2 pokrivata dve prilogi. Direktiva se uporablja za javne in zasebne subjekte, navedene v Priloga I ali II, kot je prikazano spodaj. Priloga I navaja sektorje visoke kritičnosti, ki so lahko bodisi an Bistvenega pomena ali an Pomembno glede na skupni letni prihodek in velikost organizacije.
V Prilogi II so navedeni drugi kritični sektorji, ki jih je določila EU, ki bodo spadali samo v kategorijo pomembnega subjekta.
Merila, ki določajo, katera podjetja morajo izpolnjevati NIS 2
Obstajajo trije splošni kriteriji, ki določajo, katere organizacije morajo izpolnjevati NIS 2:
- Lokacija — če opravljajo storitve ali dejavnosti v kateri koli državi Evropske unije (ne glede na to, ali imajo sedež v EU ali ne), in
- Velikost — če so kategorizirane kot srednje velike ali velike organizacije (glejte merila v spodnjem razdelku) in
- Industrija — če delujejo v katerem koli od 18 sektorjev, navedenih v spodnji tabeli.
Vendar pa obstajajo nekatere izjeme od teh pravil – glejte tabelo v spodnjem razdelku za nadaljnjo razlago.
Bistvene in pomembne entitete
NIS2 kategorizira subjekte v svojem obsegu v dve skupini: 'bistvene' in 'pomembne'. Glavna razlika je v tem, da bi imela motnja storitev subjektov v bistveni skupini resne posledice za celotno družbo v državi.
Obe skupini morata upoštevati enake varnostne ukrepe. Vendar so subjekti v bistveni kategoriji pod proaktivnim nadzorom, medtem ko se pomembni subjekti spremljajo šele po prijavi incidenta neskladnosti. Organizacije morajo nemudoma ugotoviti, ali spadajo v področje uporabe in ali so razvrščene kot bistveni ali pomembni subjekti.
»Bistveni subjekti« in »pomembni subjekti« so tisto, kar NIS 2 imenuje podjetja in druge organizacije, ki morajo biti v skladu z NIS 2.
NIS 2 opredeljuje bistvene entitete na naslednji način:
- Podjetja, ki so kategorizirana kot velika podjetja (glejte merila v naslednjem razdelku) in so v enem od 11 kritičnih sektorjev (navedenih v spodnji tabeli)
- Ponudniki storitev zaupanja
- Ponudniki storitev DNS
- Javna elektronska komunikacijska omrežja
- Subjekti javne uprave
- Kateri koli kritični subjekt v skladu z Direktivo (EU) 2022/2557 o odpornosti kritičnih subjektov (CER)
- Drugi subjekti, ki jih določijo države članice
Pomembni subjekti so vse druge organizacije, ki niso kategorizirane kot bistveni subjekti, vendar spadajo pod 3 kriterije, omenjene v prejšnjem razdelku.
Klasifikacija sektorjev: bistveni in pomembni subjekti
Glede na zgornjo razlago NIS2, ki bi lahko bila nejasna, spodnja tabela pojasnjuje, katere organizacije morajo biti skladne z NIS2 in ali so razvrščene kot bistvene ali pomembne entitete.
Za dodatno pojasnilo, tukaj je, kako EU razvršča podjetja glede na njihovo velikost:
- Mikro in male organizacije — če imajo manj kot 50 zaposlenih in manj kot 10 milijonov evrov letnega prihodka.
- Srednje velike organizacije — če imajo od 50 do 250 zaposlenih in 10 do 50 milijonov evrov letnega prihodka.
- Velike organizacije — če imajo več kot 250 zaposlenih in več kot 50 milijonov evrov letnega prihodka.
