NIS2 — podmioty istotne i ważne

• Directive (EU) 2022/2555 — NIS2, Art. 26

Kto musi wyznaczyć

Dostawcy DNS, rejestry TLD, usługi chmurowe i centra danych, CDN, dostawcy usług zarządzanych i zarządzanych usług bezpieczeństwa, rynki internetowe, wyszukiwarki i platformy społecznościowe, które nie mają siedziby w Unii, ale oferują usługi na jej terenie.

Progi i wyłączenia

Zazwyczaj podmioty z 50 lub więcej pracownikami lub obrotem 10 milionów euro, ale niektórzy dostawcy infrastruktury cyfrowej są objęci niezależnie od wielkości.

Co musi być na etykiecie

Nie ma obowiązku oznakowania. Podmiot musi być zarejestrowany w organie państwa członkowskiego, w którym znajduje się przedstawiciel.

Pola na platformach

Nie dotyczy, ale zamówienia przedsiębiorstw teraz rutynowo pytają, czy dostawca jest zarejestrowany w NIS2.

Dokumentacja do przechowywania

Środki zarządzania ryzykiem, procedury obsługi incydentów, polityka bezpieczeństwa łańcucha dostaw, plan ciągłości działania oraz rejestracja.

Normy i badania

Nie dotyczy, chociaż audyty mogą być nałożone na podmioty istotne.

Wymogi językowe

Raportowanie w języku akceptowanym przez odpowiedni CSIRT.

Od kiedy obowiązuje

Wczesne ostrzeżenie w ciągu 24 godzin od istotnego incydentu, powiadomienie o incydencie w ciągu 72 godzin i końcowy raport w ciągu miesiąca.

Jak długo przechowywać

Na czas trwania rejestracji.

Co grozi za brak zgodności

Do 10 milionów euro lub 2% światowego obrotu dla podmiotów istotnych, a zarząd może być osobiście odpowiedzialny w kilku państwach członkowskich.

Kto egzekwuje

Krajowe organy kompetentne i CSIRT.

Gdzie przebiega granica

Raportowanie NIS2 i raportowanie zgodnie z artykułem 14 CRA to odrębne obowiązki z różnymi wyzwalaczami: NIS2 dotyczy incydentów wpływających na twoją usługę, CRA dotyczy luk w twoim produkcie.

Najczęstsze pytania

Jesteśmy małym SaaS z klientami w UE — czy wchodzimy w zakres?

Tylko jeśli należysz do jednego z wymienionych sektorów i spełniasz kryteria wielkości, lub jesteś dostawcą infrastruktury cyfrowej objętym niezależnie od wielkości.