NIS2 áp dụng cho ai? Lĩnh vực, quy mô và loại đơn vị

Đây là gì

NIS2 (Chỉ thị (EU) 2022/2555) liệt kê các lĩnh vực thuộc phạm vi trong hai phụ lục. Phụ lục I bao gồm các lĩnh vực có mức độ trọng yếu cao: năng lượng, giao thông vận tải, ngân hàng, hạ tầng thị trường tài chính, y tế, nước uống, nước thải, hạ tầng số, quản lý dịch vụ ICT (giữa doanh nghiệp với doanh nghiệp), hành chính công và không gian. Phụ lục II bao gồm các lĩnh vực trọng yếu khác: dịch vụ bưu chính và chuyển phát, quản lý chất thải, sản xuất và phân phối hóa chất, sản xuất và phân phối thực phẩm, sản xuất một số sản phẩm nhất định (như thiết bị y tế, máy tính và điện tử, thiết bị điện, máy móc và phương tiện), nhà cung cấp dịch vụ số (sàn thương mại trực tuyến, công cụ tìm kiếm và nền tảng mạng xã hội) và nghiên cứu. Theo nguyên tắc chung, chỉ thị áp dụng cho các tổ chức quy mô vừa và lớn trong các lĩnh vực này; theo định nghĩa SME của EU, một tổ chức về cơ bản có quy mô ít nhất là vừa nếu có từ 50 nhân viên trở lên, hoặc nếu cả doanh thu hằng năm và tổng tài sản trên bảng cân đối kế toán đều vượt quá 10 triệu EUR. Một số đơn vị thuộc phạm vi bất kể quy mô, chẳng hạn một số nhà cung cấp dịch vụ truyền thông điện tử công cộng, nhà cung cấp dịch vụ tin cậy, nhà cung cấp dịch vụ DNS và cơ quan quản lý tên miền cấp cao nhất, và các quốc gia thành viên có thể chỉ định thêm các đơn vị khác. Các tổ chức thuộc phạm vi được phân loại là đơn vị thiết yếu hoặc đơn vị quan trọng. Về cơ bản, các tổ chức lớn trong các lĩnh vực thuộc Phụ lục I là đơn vị thiết yếu, còn các tổ chức quy mô vừa thuộc Phụ lục I và các tổ chức thuộc Phụ lục II là đơn vị quan trọng, tùy thuộc vào các quy tắc không phụ thuộc quy mô và việc chỉ định của quốc gia. Việc phân loại ảnh hưởng đến cơ chế giám sát và mức xử phạt hơn là các biện pháp cơ bản được kỳ vọng.

Dành cho ai

Hướng dẫn này hữu ích cho:

• Nhà quản lý các công ty quy mô vừa trong chuỗi cung ứng sản xuất, logistics, dịch vụ số, thực phẩm, hóa chất hoặc liên quan đến y tế
• Nhà cung cấp dịch vụ được quản lý và nhà cung cấp ICT phục vụ khách hàng doanh nghiệp
• Nhà cung cấp cho các đơn vị thuộc phạm vi đang nhận các bảng câu hỏi bảo mật
• Các tập đoàn hoạt động tại nhiều quốc gia thành viên EU cần một góc nhìn nhất quán

Giúp làm rõ điều gì

Xem xét cấu trúc phạm vi giúp làm rõ:

• Có hoạt động nào của tổ chức khớp với một lĩnh vực thuộc Phụ lục I hoặc Phụ lục II hay không
• Tổ chức có đạt ngưỡng quy mô hay thuộc một loại đơn vị nằm trong phạm vi bất kể quy mô
• Luật quốc gia và cơ quan có thẩm quyền của những quốc gia thành viên nào là liên quan
• Nghĩa vụ của tổ chức là trực tiếp hay phát sinh gián tiếp qua hợp đồng với khách hàng

Những gì được bao gồm

• Liệt kê mọi hoạt động và mảng dịch vụ, không chỉ phần mô tả hoạt động kinh doanh chính
• Đối chiếu từng hoạt động với mô tả lĩnh vực trong Phụ lục I và Phụ lục II
• Kiểm tra số lượng nhân viên, doanh thu và bảng cân đối kế toán, có tính đến cấu trúc tập đoàn và các doanh nghiệp đối tác hoặc liên kết theo yêu cầu của định nghĩa SME của EU
• Xác định mọi quốc gia thành viên nơi tổ chức cung cấp dịch vụ thuộc phạm vi hoặc có cơ sở
• Kiểm tra luật chuyển hóa quốc gia và hướng dẫn của cơ quan có thẩm quyền tại từng quốc gia liên quan
• Ghi lại kết quả, lập luận và ngày thực hiện, và rà soát lại khi hoạt động kinh doanh thay đổi
• Nếu nằm ngoài phạm vi, liệt kê các khách hàng thuộc phạm vi và các yêu cầu bảo mật mà họ chuyển sang

Những gì không được bao gồm

• Kết luận pháp lý về việc NIS2 có áp dụng cho tổ chức hay không
• Diễn giải một luật chuyển hóa quốc gia cụ thể
• Thay mặt tổ chức đăng ký với cơ quan có thẩm quyền
• Chứng nhận hoặc phê duyệt tuân thủ

Khi nào nên chọn

Hãy dùng hướng dẫn này từ sớm, trước khi đầu tư vào một chương trình lớn, và dùng lại mỗi khi tham gia một lĩnh vực hoặc quốc gia mới, mua lại một doanh nghiệp hoặc vượt qua một ngưỡng quy mô. Nếu câu trả lời chưa rõ ràng, chẳng hạn vì một hoạt động nằm ở ranh giới của một mô tả lĩnh vực, hãy tìm tư vấn pháp lý thay vì tự giả định. Ngay cả các tổ chức nằm ngoài phạm vi trực tiếp cũng thường được lợi khi chuẩn bị, vì các khách hàng thuộc phạm vi phải quản lý rủi ro trong chuỗi cung ứng của họ. Bài viết này là thông tin chung và không phải là tư vấn pháp lý.

Phương pháp của chúng tôi

Hãy tiếp cận câu hỏi phạm vi như một quyết định được lập thành tài liệu thay vì một câu trả lời có hoặc không nhanh chóng. Trước tiên, hãy thu thập dữ kiện: hoạt động, dữ liệu quy mô, cấu trúc tập đoàn và các quốc gia. Sau đó mang câu hỏi cùng các bằng chứng đó đến cố vấn pháp lý. Song song, hãy xem xét các biện pháp bảo mật mà NIS2 kỳ vọng; chúng phản ánh thực hành tốt được công nhận rộng rãi, vì vậy cải thiện chúng đều hữu ích dù câu hỏi phạm vi được trả lời theo hướng nào. Dịch vụ Security Baseline Review của chúng tôi có thể cung cấp góc nhìn bằng văn bản về các tài sản đã thống nhất và các quan sát được xếp theo mức độ nghiêm trọng, cùng các quan sát về khoảng cách sẵn sàng so với một tham chiếu đã thống nhất, nếu có trong phạm vi đã xác nhận. Bằng chứng đó có thể hỗ trợ các cuộc trao đổi với khách hàng, ban lãnh đạo và cố vấn. Đây là tài liệu hỗ trợ ra quyết định, giúp bạn mang những câu hỏi tập trung đến cố vấn pháp lý và, khi phù hợp, các tổ chức chứng nhận. Nếu là nhà cung cấp, hãy hỏi các khách hàng thuộc phạm vi về những biện pháp kiểm soát cụ thể mà họ cần được chứng minh, và ưu tiên các biện pháp đó.

Security Baseline Review

Câu hỏi thường gặp

Bài viết liên quan