Kary i sankcje NIS2: ile, kto odpowiada i jak ich uniknąć

Co obejmują sankcje NIS2

NIS2 (dyrektywa (UE) 2022/2555) jest transponowana do prawa krajowego przez każde państwo członkowskie, więc dokładne kwoty i procedury są ustalane krajowo, ale dyrektywa ustala progi maksymalnych kar administracyjnych i zestaw narzędzi egzekwowania. Kary wiążą się z niewywiązaniem się podmiotu z obowiązków: środków zarządzania ryzykiem z artykułu 21 ust. 2, obowiązków zgłaszania incydentów z artykułu 23, rejestracji oraz współpracy z organami.

Co istotne, NIS2 nie dotyczy tylko pieniędzy. Artykuł 32 (podmioty kluczowe) i artykuł 33 (podmioty ważne) dają właściwym organom stopniowane uprawnienia, od ostrzeżeń przez wiążące instrukcje aż po, w przypadku podmiotów kluczowych, zawieszenie i zakazy zarządzania. Kara to nagłówek; środki operacyjne to to, z czym większość podmiotów faktycznie się zetknie.

Maksymalne kary

Odpowiedzialność osobista i kierownictwa

NIS2 celowo kładzie cyberbezpieczeństwo na biurku zarządu. Zgodnie z artykułem 20 organ zarządzający musi zatwierdzić środki zarządzania ryzykiem cybernetycznym, nadzorować ich wdrożenie i może ponosić odpowiedzialność za uchybienia. Członkowie organów zarządzających muszą również odbywać szkolenia i oczekuje się, że zaoferują podobne szkolenia swojemu personelowi.

W przypadku podmiotów kluczowych artykuł 32 ust. 5 idzie dalej: gdy inne środki egzekwowania zawiodły, właściwe organy mogą tymczasowo zawiesić certyfikację lub zezwolenie i tymczasowo zakazać osobie na poziomie dyrektora generalnego lub przedstawiciela prawnego pełnienia funkcji zarządczych. Ta osobista odpowiedzialność to powód, dla którego zarządzanie NIS2 sięga teraz szczytu organizacji.

Zestaw narzędzi egzekwowania (poza karami)

Przed karą lub obok niej organy mogą zastosować szereg wiążących środków (art. 32 i 33). W praktyce z tym najprawdopodobniej się zetkniesz:

• Ostrzeżenia i wiążące instrukcje usunięcia konkretnych uchybień w wyznaczonym terminie.
• Nakazy zastosowania się, poinformowania zagrożonych klientów o istotnym zagrożeniu lub wdrożenia zaleceń audytu.
• Obowiązkowe audyty bezpieczeństwa i inspekcje na miejscu, na Twój koszt.
• Wyznaczenie urzędnika monitorującego, który nadzoruje Twoją zgodność przez określony czas.
• Publiczne ujawnienie naruszenia oraz nakazy upublicznienia aspektów incydentu.
• Tylko dla podmiotów kluczowych: tymczasowe zawieszenie certyfikacji lub zezwolenia oraz tymczasowy zakaz zarządzania (art. 32 ust. 5).

Nadzór różni się w zależności od kategorii

Podmioty kluczowe podlegają nadzorowi proaktywnemu (ex ante) i reaktywnemu (ex post) na podstawie artykułu 32: regularne i ukierunkowane audyty, inspekcje na miejscu, skany bezpieczeństwa i żądania informacji mogą nastąpić niezależnie od tego, czy istnieje podejrzenie problemu.

Podmioty ważne są nadzorowane wyłącznie ex post na podstawie artykułu 33: organy działają, gdy istnieją dowody lub przesłanki niezgodności, zwykle po incydencie lub skardze. Tak czy inaczej, to na Tobie spoczywa ciężar wykazania, że odpowiednie środki były wdrożone, co jest znacznie łatwiejsze przy ciągłych zapisach niż przy migawce raz w roku.

Jak norppa.io zmniejsza Twoje ryzyko

Większość kar wynika z dwóch uchybień: niewystarczających środków z artykułu 21 ust. 2 (zwłaszcza bezpieczeństwa łańcucha dostaw) oraz niemożności udowodnienia należytej staranności na żądanie. norppa.io odpowiada na oba, monitorując w sposób ciągły każdą domenę dostawcy i przypisując każde ustalenie do artykułu NIS2, którego dotyczy.

Ponieważ każdy cykl monitorowania jest rejestrowany, masz ciągły, datowany ślad audytowy, dokładnie dowód, którego wymaga nadzór na podstawie artykułów 32 i 33, a nie migawkę w danym momencie. To zamienia „zamierzaliśmy” w „oto zapis” i jest najtańszym ubezpieczeniem przed powyższymi karami i nakazami.