- Directive (EU) 2022/2555 — NIS2, Art. 26
誰が選任するか
EUに設立されていないが、EU内でサービスを提供するDNSプロバイダー、TLDレジストリ、クラウドコンピューティングおよびデータセンターサービス、CDN、マネージドサービスおよびマネージドセキュリティサービスプロバイダー、オンラインマーケットプレイス、検索エンジンおよびソーシャルプラットフォーム。
しきい値と適用除外
一般的に、50人以上のスタッフまたは1,000万ユーロの売上高を持つエンティティ。ただし、一部のデジタルインフラプロバイダーは、規模に関係なくカバーされます。
ラベルに必要な記載
ラベリング義務はありません。エンティティは、代表者が設立されている加盟国の当局に登録されている必要があります。
マーケットプレイスの項目
該当しませんが、企業の調達は現在、供給者がNIS2に登録されているかどうかを尋ねることが一般的です。
保管すべき文書
リスク管理措置、インシデント処理手順、サプライチェーンセキュリティポリシー、事業継続計画および登録記録。
規格と試験
該当しませんが、必須エンティティには監査が課される場合があります。
言語要件
関係するCSIRTが受け入れる言語での報告。
いつから適用されるか
重要なインシデントの24時間以内の早期警告、72時間以内のインシデント通知、および1か月以内の最終報告。
文書の保管期間
登録の期間中。
違反した場合
必須エンティティの場合、最大1,000万ユーロまたは世界的な売上高の2%。また、経営陣は複数の加盟国で個人的に責任を問われる可能性があります。
執行機関
国家の競争当局およびCSIRT。
境界線
NIS2報告およびCRA第14条報告は、異なるトリガーを持つ別々の義務です：NIS2はサービスに影響を与えるインシデントに関するもので、CRAは製品の脆弱性に関するものです。
よくある質問
- 私たちはEUの顧客を持つ小規模なSaaSです — 私たちは対象ですか？
- リストされたセクターのいずれかに該当し、サイズ基準を満たす場合、またはサイズに関係なくカバーされるデジタルインフラプロバイダーである場合のみです。