Formálně směrnice (EU) 2022/2555 nahrazuje původní směrnici NIS a rozšiřuje sektory a organizace, od kterých se očekává řízení kybernetického rizika, hlášení významných incidentů, zabezpečení dodavatelských řetězců a ustanovení odpovědnosti vedení.
NIS2 je směrnice, takže organizace vyhovují vnitrostátnímu zákonu, který ji transponuje v každém relevantním členském státě — nikoli jedinému samo-vykonatelnému souboru pravidel EU izolovaně. Lhůta pro členské státy přijmout a zveřejnit svá opatření byla 17. října 2024. Rozsah, dohled, registrace, orgány, procedury a sankce proto musí být ověřeny vůči aktuální vnitrostátní implementaci, zejména u organizací působících ve více zemích.
Klíčové body
Kdo může spadat do rozsahuStřední a velké subjekty ve vyjmenovaných sektorech směrnice jsou hlavní populací, rozdělenou na základní a důležité subjekty. Určení poskytovatelé mohou být pokryti bez ohledu na velikost a vnitrostátní orgány mohou identifikovat další subjekty. Rozhodující jsou sektor, služba, usazení, velikost i vnitrostátní pravidla.
Opatření řízení rizikČlánek 21 vyžaduje přiměřená a proporcionální technická, provozní a organizační opatření. Vyjmenované oblasti zahrnují nakládání s incidenty; kontinuitu podnikání a krizové řízení; zabezpečení dodavatelského řetězce; bezpečnou akvizici, vývoj a údržbu; nakládání se zranitelnostmi a jejich zveřejňování; hodnocení účinnosti; kybernetickou hygienu a školení; kryptografii; řízení přístupu a správu aktiv; a tam, kde je to vhodné, MFA či kontinuální autentizaci a zabezpečené komunikace.
Odpovědnost vedeníŘídicí orgány musí schvalovat opatření řízení kybernetických rizik, dohlížet na implementaci a mohou být podle vnitrostátního práva pohnány k odpovědnosti. Členové těchto orgánů musí absolvovat školení a od organizací se očekává, že budou pravidelně nabízet relevantní školení zaměstnancům.
Hlášení incidentůPro významný incident ustanovuje článek 23 stupňovaný proces: včasné varování bez zbytečného odkladu a do 24 hodin od zjištění; oznámení o incidentu bez zbytečného odkladu a do 72 hodin od zjištění — nebo do 24 hodin u poskytovatele služeb vytvářejících důvěru, kde významný incident ovlivňuje poskytování jeho služeb důvěry; průběžné zprávy na vyžádání; a závěrečnou zprávu nejpozději jeden měsíc po oznámení o incidentu. Zatímco incident trvá, může závěrečnou zprávu nahradit zpráva o postupu.
Dodavatelský řetězecNIS2 činí bezpečnost přímých dodavatelů a poskytovatelů služeb explicitní součástí řízení rizik. To neznamená, že každý dodavatel musí splňovat identické kontroly; organizace potřebují přístup založený na riziku, který zvažuje zranitelnosti, závislost a kvalitu a odolnost produktů a služeb.
Dohled a sankceZákladní a důležité subjekty podléhají odlišným přístupům dohledu, ale oba mohou čelit vymáhání. Směrnice stanoví rámce maximálních správních pokut, které vnitrostátní zákony musí implementovat, vedle možných závazných pokynů a dalších opatření.
Důležité omezeníNIS2 ustanovuje rámec EU, ale glosářový článek nemůže určit, zda konkrétní právnická osoba spadá do rozsahu, ani naplnit požadavky vnitrostátní implementace. Klasifikace a povinnosti závisí na subjektu, službě, jurisdikci a platném transpozičním zákoně.