Šta je Direktiva NIS 2?
Direktiva NIS 2 zamjenjuje prethodnu NIS direktivu iz 2016. godine i značajno proširuje njen opseg. Cilj je bolje zaštititi kritične i važne sektore od kibernetičkih napada i uspostaviti jedinstven nivo zaštite širom Evrope. Direktiva sada također obuhvata organizacije koje nisu klasificirane kao operateri kritične infrastrukture, ali su ipak od značajne važnosti za ekonomiju i društvo.
Ko je tačno obuhvaćen Direktivom NIS 2?
Direktiva razlikuje između osnovnih objekata i važnih objekata:
-
Osnovne usluge: To uključuje organizacije koje djeluju u ključnim sektorima kao što su opskrba energijom, upravljanje vodama, zdravstvo, digitalna infrastruktura i finansije. Njihove usluge su neophodne za funkcionisanje društva, zbog čega se primjenjuju posebno strogi sigurnosni zahtjevi.
-
Ključne organizacije: To uključuje kompanije koje, iako se ne klasificiraju kao kritične, ipak imaju značajan značaj za ekonomiju ili društvo. Primjeri uključuju proizvođače medicinskih uređaja, pružatelje usluga u oblaku i istraživačke centre.
Klasifikacija se temelji na specifičnim kriterijima kao što su veličina kompanije, tržišni udio ili važnost pruženih usluga. Manje kompanije (MSP) su općenito izuzete, osim ako ne pružaju osnovne usluge ili ne posluju u sektorima s posebnim rizikom.
Obligacije za preduzeća
Direktiva NIS 2 propisuje niz zahtjeva koje organizacije moraju provesti. Ključne obaveze uključuju:
-
Upravljanje rizicima: Organizacije moraju provesti mjere za identifikaciju, procjenu i ublažavanje rizika. To uključuje tehničke i organizacijske mjere zaštite, kao što su vatrozidi, sistemi za otkrivanje upada i obuka osoblja.
-
Obaveze izvještavanja: Sigurnosni incidenti koji značajno utiču na pružanje usluga moraju biti prijavljeni u roku od 24 sata. Organizacije su obavezne dostaviti detaljan izvještaj o incidentu u roku od 72 sata.
-
Odgovornosti višeg menadžmenta: Direktiva NIS 2 naglašava ulogu višeg menadžmenta. Viši menadžment je odgovoran za osiguranje usklađenosti sa zahtjevima i može biti lično odgovoran u slučaju bilo kakvih kršenja.
-
Kontrole pristupa i sigurnost lanca snabdijevanja: Kompanije moraju osigurati da se svi partneri i dobavljači također pridržavaju sigurnosnih standarda kako bi se spriječile ranjivosti u lancu snabdijevanja.
- Planovi za nepredviđene situacije i otpornost: Razvoj planova za nepredviđene situacije i sposobnost oporavka od incidenta su ključni. To uključuje testove i vježbe kako bi se osiguralo da su planovi efikasni.
Implementacija u Austriji
Austrija – kao i ostale države članice – trebala bi do 17. oktobra 2024. godine implementirati zahtjeve Direktive NIS 2. Iako je nacrt odgovarajućeg nacionalnog NISG-a 2024. već dostupan, on još nije usvojen. Međutim, uprkos ovom kašnjenju, jasno je da će NISG 2024 u svakom slučaju stupiti na snagu. Organizacije koje su obuhvaćene Direktivom stoga bi trebale odmah započeti pripreme.
Posljedice nepoštivanja
Nepoštivanje zahtjeva Direktive NIS 2 može imati značajne pravne i financijske posljedice. Mogu se izreći novčane kazne do 10 miliona eura ili 2% globalnog godišnjeg prometa. Nadalje, viši menadžment može biti lično odgovoran.
Zaključak
Direktiva NIS 2 predstavlja kompanijama u Austriji nove izazove, ali također nudi priliku za dugoročno poboljšanje standarda kibernetičke sigurnosti. Kompanije bi trebale započeti s implementacijom u ranoj fazi kako bi izbjegle pravne rizike i sigurnosne ranjivosti. Rado ćemo vam pomoći pri analizi i implementaciji zahtjeva NIS 2. Za dodatne informacije i personaliziranu konsultaciju, molimo kontaktirajte Anela Blöch na sljedeći telefonski broj 01 3912345 ili putem e-pošte office@atb.law dostupno.
