Barındırma, bulut ve B2B SaaS sağlayıcıları

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive (EU) 2022/2555 — NIS2
• Regulation (EU) 2022/2065 — DSA for hosting services
• Regulation (EU) 2023/2854 — Data Act, switching provisions

Kimin ataması gerekir

Birlik dışında kurulmuş olan ve AB'deki müşterilere veri barındırma veya yazılım hizmetleri sunan sağlayıcılar. Eğer Madde 3(2) sizin için geçerliyse, kendi Madde 27 temsilcinize ihtiyacınız var. Bir barındırma hizmeti olarak, bir Madde 13 DSA yasal temsilcisine ihtiyacınız var. Eğer bir bulut bilişim, veri merkezi, CDN veya yönetilen hizmet sağlayıcısıysanız ve boyut eşiklerini aşıyorsanız, NIS2 üçüncü bir atama ekler.

Eşikler ve muafiyetler

GDPR için bir eşik yoktur. NIS2 genellikle en az 50 çalışanı veya 10 milyon € ciroya sahip olan varlıkları kapsar, ancak belirli dijital altyapı sağlayıcıları boyutlarına bakılmaksızın kapsanır. DSA temsilcisi, Birlik'te hizmet sunan herhangi bir aracıyı kapsar.

Etikette ne bulunmalı

Etiketleme yerine yayınlama: DSA, yasal temsilcinin adının, adresinin, e-posta ve telefonunun hizmetin kolay erişilebilir bir kısmında yayınlanmasını ve Dijital Hizmetler Koordinatörü'ne bildirilmesini gerektirir. GDPR temsilcisi gizlilik bildiriminde ve müşteri odaklı veri işleme şartlarında yer alır.

Pazar yeri alanları

Kurumsal alım burada gerçek yaptırım. AB müşterileri, Madde 28 işleme şartlarını, bildirim haklarıyla birlikte alt yüklenici listesini, transfer mekanizmasını ve imza öncesinde giderek artan bir şekilde NIS2 kaydı kanıtını talep eder.

Saklamanız gereken belgeler

İşlemciler için Madde 30(2) kayıtları. Her müşteri ve her alt yüklenici ile veri işleme sözleşmeleri. Madde 27 ataması ve DSA temsilcisi ataması. Transfer etki değerlendirmeleri ile standart sözleşme maddeleri. NIS2 risk yönetim önlemleri, olay prosedürleri ve kayıt. Veri Yasası için, geçiş takviminde geçiş ve çıkış ücretlerinin kaldırılmasına ilişkin sözleşme şartları.

Standartlar ve testler

Ürün testi değil, denetim maruziyeti: müşteriler Madde 28 uyarınca denetim haklarını kullanır ve NIS2, yetkililerin temel varlıklar üzerinde güvenlik denetimleri uygulamasına izin verir. ISO 27001 ve SOC 2 yasal yükümlülükleri yerine getirmez, ancak müşterilerin ilk talep ettiği şeylerdir.

Dil gereklilikleri

Müşteri odaklı şartlar ve hizmet verilen pazarların dillerinde yayınlanan temsilci bilgileri. NIS2 olay raporları, ilgili CSIRT tarafından kabul edilen dilde.

Ne zamandan itibaren

İşleme başlamadan önce GDPR temsilcisi. DSA yükümlülükleri 17 Şubat 2024'ten itibaren geçerlidir. NIS2 raporlama son tarihleri: 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi, bir ay içinde nihai rapor. Veri Yasası geçiş hükümleri Eylül 2025'ten itibaren aşamalı olarak uygulanacak ve çıkış ücretleri Ocak 2027'den itibaren kaldırılacaktır.

Belgeler ne kadar saklanır

Hizmetin ömrü boyunca işleme kayıtları. NIS2'ye göre olay kayıtları. Müşteri verileri yalnızca sözleşmeli dönem için ve işleme şartlarında vaat edilen silme penceresi süresince saklanır.

Uymazsanız ne olur

GDPR: kayıp temsilci için 10 milyon €'ya kadar veya %2, yasadışı işleme için daha fazlası. NIS2: temel varlıklar için 10 milyon €'ya kadar veya %2, birkaç üye devlette yönetim sorumluluğu ile. DSA: dünya çapında cironun %6'sına kadar, Dijital Hizmetler Koordinatörü tarafından emredilir.

Kim denetler

Veri koruma otoriteleri, CSIRT ve NIS2 kapsamındaki yetkili otorite, ve temsilcinin kurulu olduğu üye devletin Dijital Hizmetler Koordinatörü.

Sınır nerede

Bunlar üç ayrı atama ve üç ayrı yasal dayanağa sahip olup, tek bir sağlayıcı her üçünü de tutabilir ancak her biri için atanmış olmalıdır. En yaygın boşluk, yıllar önce bir Madde 27 temsilcisi atayan bir şirketin, bunun DSA ve NIS2'yi kapsadığını varsaymasıdır, ki bu doğru değildir.

Bize sorulan sorular

Biz sadece bir işlemciyiz — kendi temsilcimize ihtiyacımız var mı?

Evet, eğer Madde 3(2) kendi işleme faaliyetlerinize uygulanıyorsa. Müşterinizin temsilcisi sizi kapsamaz.

ISO 27001 NIS2'yi karşılar mı?

Hayır. Risk yönetim önlemleri açısından güçlü bir kanıt sağlar ancak kayıt, raporlama veya yönetişim yükümlülüklerini yerine getirmez.