Na koho se vztahuje NIS2? Odvětví, velikost a typy subjektů

Co to je?

NIS2 (směrnice (EU) 2022/2555) uvádí dotčená odvětví ve dvou přílohách. Příloha I zahrnuje odvětví s vysokou kritičností: energetiku, dopravu, bankovnictví, infrastruktury finančních trhů, zdravotnictví, pitnou vodu, odpadní vodu, digitální infrastrukturu, řízení služeb ICT (mezi podniky), veřejnou správu a vesmír. Příloha II zahrnuje další kritická odvětví: poštovní a kurýrní služby, nakládání s odpady, výrobu a distribuci chemických látek, výrobu a distribuci potravin, výrobu některých výrobků (například zdravotnických prostředků, počítačů a elektroniky, elektrických zařízení, strojů a vozidel), digitální poskytovatele (online tržiště, internetové vyhledávače a platformy sociálních sítí) a výzkum. Obecně platí, že se směrnice vztahuje na středně velké a velké organizace v těchto odvětvích; podle definice MSP v EU je organizace zhruba alespoň středně velká, pokud má 50 nebo více zaměstnanců, nebo pokud její roční obrat i bilanční suma přesahují 10 milionů EUR. Některé subjekty jsou dotčeny bez ohledu na velikost, například někteří poskytovatelé veřejných služeb elektronických komunikací, poskytovatelé služeb vytvářejících důvěru, poskytovatelé služeb DNS a registry domén nejvyšší úrovně, a členské státy mohou určit další. Dotčené organizace se dělí na základní a důležité subjekty. Zhruba řečeno, velké organizace v odvětvích přílohy I jsou základní, zatímco středně velké organizace z přílohy I a organizace z přílohy II jsou důležité, s výhradou pravidel nezávislých na velikosti a vnitrostátního určení. Klasifikace ovlivňuje spíše dohled a sankce než základní očekávaná opatření.

Pro koho to je?

Tento průvodce je užitečný pro:

• Manažery středně velkých firem ve výrobě, logistice, digitálních službách, potravinářství, chemii nebo v dodavatelských řetězcích souvisejících se zdravotnictvím
• Poskytovatele řízených služeb a ICT, kteří pracují pro firemní zákazníky
• Dodavatele regulovaných subjektů, kteří dostávají bezpečnostní dotazníky
• Skupiny působící v několika členských státech EU, které potřebují jednotný přehled

Co to pomůže objasnit

Přezkum struktury působnosti pomáhá ujasnit:

• Zda některá z vašich činností odpovídá odvětví z přílohy I nebo přílohy II
• Zda splňujete velikostní práh, nebo spadáte do kategorie dotčené bez ohledu na velikost
• Které vnitrostátní právní předpisy a orgány členských států jsou relevantní
• Zda jsou vaše povinnosti přímé, nebo vyplývají nepřímo ze smluv se zákazníky

Co je zahrnuto

• Sepište každou činnost a linii služeb, nejen hlavní popis podnikání
• Porovnejte každou činnost s popisy odvětví v přílohách I a II
• Ověřte počet zaměstnanců, obrat a bilanční sumu se zohledněním struktury skupiny a partnerských či propojených podniků, jak vyžaduje definice MSP v EU
• Určete všechny členské státy, ve kterých poskytujete dotčené služby nebo máte provozovny
• V každé relevantní zemi ověřte vnitrostátní transpoziční zákon a pokyny příslušného orgánu
• Zaznamenejte výsledek, zdůvodnění a datum a přezkoumejte je, kdykoli se vaše podnikání změní
• Pokud do působnosti nespadáte, sepište zákazníky, kteří do ní spadají, a bezpečnostní požadavky, které na vás přenášejí

Co není součástí

• Právní posouzení, zda se NIS2 na vaši organizaci vztahuje
• Výklad konkrétního vnitrostátního transpozičního zákona
• Registrace u orgánů vaším jménem
• Certifikace nebo schválení souladu

Kdy si ji vybrat

Použijte tohoto průvodce včas, dříve než investujete do rozsáhlého programu, a znovu vždy, když vstupujete do nového odvětví nebo země, kupujete firmu nebo překračujete velikostní práh. Pokud je odpověď nejasná, například proto, že činnost leží na hranici popisu odvětví, obraťte se na právního poradce, místo abyste vycházeli z předpokladů. I organizace mimo přímou působnost mají z přípravy často prospěch, protože regulovaní zákazníci musí řídit rizika ve svém dodavatelském řetězci. Tento článek je obecnou informací a není právním poradenstvím.

Náš přístup

K působnosti přistupujte jako ke zdokumentovanému rozhodnutí, nikoli jako k rychlému ano či ne. Nejprve shromážděte fakta: činnosti, údaje o velikosti, strukturu skupiny a země. Poté s těmito podklady předložte otázku právním poradcům. Souběžně se zaměřte na bezpečnostní opatření, která NIS2 očekává; odrážejí široce uznávanou dobrou praxi, takže jejich zlepšení je užitečné bez ohledu na to, jak otázka působnosti dopadne. Naše služba Security Baseline Review vám může poskytnout písemný pohled na dohodnutá aktiva a zjištění odstupňovaná podle závažnosti, se zjištěními o mezerách v připravenosti vůči dohodnutému referenčnímu rámci, pokud jsou zahrnuta v potvrzeném rozsahu. Tyto podklady mohou podpořit rozhovory se zákazníky, vedením a poradci. Jde o podklady pro rozhodování, které vám pomohou položit cílené otázky právním poradcům a případně certifikačním orgánům. Pokud jste dodavatel, zeptejte se svých regulovaných zákazníků, která konkrétní opatření od vás potřebují doložit, a upřednostněte je.

Security Baseline Review

Často kladené otázky

Související články