Eftir Tom Meevis, lögmann hjá Law & More
Netöryggi er ekki lengur eingöngu tæknilegt mál. Það er einnig lagalegt og stjórnunarlegt mál sem hefur áhrif á nánast allar stofnanir af hvaða stærð sem er.
Með evrópsku NIS2-tilskipuninni og hollensku netöryggislögunum færist ábyrgðin á stafrænni seiglu fastlega yfir á stjórnina. Hollensku netöryggislögin taka gildi 15. ágúst 2026. Fyrirtækjaeigendur, stjórnendur og eftirlitsaðilar verða því að koma á fót með stuttum fyrirvara:
- hvort skipulag þeirra falli undir gildissvið nýju reglnanna;
- hvaða skyldur fylgja af þeim;
- hvaða ráðstafanir eru nauðsynlegar;
- og hvernig stofnunin getur uppfyllt þessar skuldbindingar.
Þessi grein setur fram helstu þætti NIS2 og hollensku netöryggislaganna: gildissvið, skyldu til að gæta varúðar, tilkynningarskyldu, ábyrgð stjórnar, framfylgd og þau skref sem stofnanir geta gripið til núna.
Hvað er NIS2?
NIS2 er formleg heiti tilskipunar (ESB) 2022/2555. Hún tekur við af fyrstu evrópsku tilskipuninni um net- og upplýsingaöryggi, almennt kölluð NIS1.
Aðildarríkjunum var skylt að innleiða NIS2 í landslög fyrir 17. október 2024. Frá og með 18. október 2024 kom NIS2 formlega í stað eldri tilskipunar.
Markmið þess er að auka og samræma betur viðnám gegn netöryggi innan Evrópusambandsins. Þetta er tvennt að leiðarljósi. Í fyrsta lagi víðtækara gildissvið: mun fleiri stofnanir falla undir reglurnar en undir NIS1. Í öðru lagi hert eftirlit og strangari framfylgd, með breiðari verkfærakistu og skýrari ábyrgð stjórnenda.
Þar sem NIS1 gerði greinarmun á rekstraraðilum nauðsynlegrar þjónustu og veitendum stafrænnar þjónustu, vinnur NIS2 með nauðsynlegum aðilum og mikilvægum aðilum. Þessi greinarmunur er ekki bara hugtakafræðilegur: meðal annars ákvarðar hann umfang eftirlits og fjárhæð hugsanlegra sekta.
Hvaða stofnanir falla undir NIS2?
NIS2 á við um stofnanir sem starfa í átján tilgreindum geirum, skipt í mjög mikilvæga geira og aðra mikilvæga geira.
Meðal þeirra geira sem eru afar mikilvægir eru orka, samgöngur, bankastarfsemi, innviðir fjármálamarkaða, heilbrigðisþjónusta, drykkjarvatn og skólp, stafræn innviðir, stjórnun upplýsinga- og samskiptatækni fyrir fyrirtæki, opinber stjórnsýsla og geimferðir.
Aðrir mikilvægir geirar eru meðal annars póst- og hraðsendingarþjónusta, meðhöndlun úrgangs, efnaiðnaður, matvæli, framleiðsla, stafrænir þjónustuaðilar og rannsóknarstofnanir.
Stærðarþröskuldurinn
Innan þessara geira er meginreglan sú að stofnun fellur undir NIS2 ef hún telst meðalstór eða stór fyrirtæki. Skilyrðin eru að minnsta kosti 50 starfsmenn eða ársvelta eða efnahagsreikningur fari yfir 10 milljónir evra.
Undantekningar eru frá þessari meginreglu. Ákveðnar stofnanir falla undir gildissviðið óháð stærð, þar sem þjónusta þeirra er talin sérstaklega mikilvæg:
- þjónustuaðilar almennra rafrænna fjarskiptaneta og þjónustu;
- traustþjónustuaðilar;
- þjónustuaðilar fyrir skráningu lénsnafna;
- skráningar yfir efsta lénsheiti;
- opinberra aðila.
Frá og með 15. ágúst 2026 gilda nýju skyldurnar fyrir yfir 8,000 stofnanir í Hollandi. Það er töluverð aukning miðað við þann fjölda sem núgildandi lög um öryggi neta og upplýsingakerfa ná til.
Fyrirtæki sem áður litu ekki á sig sem hluta af mikilvægum geira gætu því fallið undir þetta, þar á meðal meðalstórir framleiðendur, matvælaframleiðendur, rannsóknarstofnanir og stafrænar þjónustuaðilar. Mikilvægt er að fyrirtæki bera sjálf ábyrgð á að meta hvort þau falli undir gildissviðið. Ekkert bréf frá yfirmanni mun berast þar sem þeim er tilkynnt um það.
Umhyggjusskyldan: hvaða ráðstafanir eru nauðsynlegar?
Kjarninn í NIS2 og hollensku netöryggislagunum er skylda til að gæta varúðar. Mikilvægir aðilar verða að grípa til viðeigandi og hlutfallslegra tæknilegra, rekstrarlegra og skipulagslegra ráðstafana til að stjórna áhættu fyrir net- og upplýsingakerfi sín.
Reglurnar tilgreina þau efni sem stefnan verður í öllum tilvikum að fjalla um:
- áhættugreining og upplýsingaöryggisstefna;
- meðhöndlun atvika;
- rekstrarstöðugleiki, afritunarstjórnun og viðbrögð við hamförum;
- öryggi framboðskeðjunnar;
- netöryggi og þjálfun starfsfólks;
- stefna um meðhöndlun varnarleysi;
- fjölþátta auðkenning;
- örugg samskipti;
- dulritun;
- reglubundið mat á árangri aðgerðanna.
Ráðstafanirnar verða að vera í réttu hlutfalli við stærð stofnunarinnar og þá áhættu sem hún er í raun berskjölduð fyrir. Minni og mikilvægur aðili þarf því ekki að grípa til sömu ráðstafana og stór og nauðsynlegur aðili í áhættusömum geira.
Það gerir umönnunarskylduna ekki valkvæða. Fyrirtæki verða að geta rökstutt hvaða áhættur þau greindu, hvaða ráðstafanir þau gripu til og hvers vegna þessar ráðstafanir eru viðeigandi. Ekki aðeins ráðstafanirnar sjálfar, heldur einnig hvernig þær eru vegnar, skráðar og metnar reglulega, eru háðar eftirliti.
Tilkynningarskylda eftir atvik
Samhliða skyldunni til að gæta varúðar leggur NIS2 á stigvaxandi tilkynningarskyldu um alvarleg atvik. Þegar atvik hefur eða kann að hafa veruleg áhrif á samfellu þjónustu gilda eftirfarandi frestir í grófum dráttum:
- innan sólarhrings, snemmbúin viðvörun til viðbragðsteymis vegna tölvuöryggisatvika á landsvísu eða lögbærs yfirvalds;
- innan 72 klukkustunda, formleg tilkynning með upphafsmati á alvarleika og áhrifum;
- innan eins mánaðar í síðasta lagi, lokaskýrsla þar sem lýst er atvikinu, líklega orsök þess, ráðstöfunum sem gripið hefur verið til og hugsanlegum áhrifum sem ná yfir landamæri.
Þessir tímafrestir gera það nauðsynlegt að setja skýrar verklagsreglur fyrirfram. Fyrirtækið verður að vita hvenær atvik er tilkynningarskylt, hver hefur heimild til að tilkynna, hvaða upplýsingar þurfa að vera tiltækar, hver hefur umsjón með atvikinu og hvernig stjórn og yfirmaður eru upplýstir.
Stofnun sem aðeins reynir að koma á fót tilkynningarferli þegar atvik á sér stað er í mikilli hættu á að geta ekki tilkynnt á réttum tíma eða að fullu.
Ábyrgð stjórnar
Mikilvægur þáttur í NIS2 er að ábyrgð á stjórnun netáhættu er sérstaklega falin stjórninni. Stjórnin verður að samþykkja öryggisráðstafanirnar, hafa eftirlit með framkvæmd þeirra, geta metið netáhættu stofnunarinnar og sjálf gangast undir nægilega þjálfun.
Því er ekki lengur hægt að líta á netöryggi sem ábyrgð upplýsingatæknideildarinnar einni. Það er stjórnunarefni sem verður að vera hluti af reglulegri ákvarðanatöku og áhættustýringu.
Í tilskipuninni er einnig sérstaklega fjallað um persónulega ábyrgð framkvæmdastjórnar ef stofnunin fylgir ekki ákvæðum. Skráðu þátttöku stjórnar í samræmi við það, til dæmis með því að skrá þjálfun sem haldin er, ákvarðanir stjórnar, samþykkta stefnu, áhættumat, skýrslugjöf og eftirlit með framkvæmd.
Hollenska framkvæmdin
Innleiðing NIS2 í Hollandi hefur tafist verulega. Innleiðingarfrestur til 17. október 2024 náðist ekki.
Þann 8. júlí 2026 ákvað framkvæmdastjórn Evrópusambandsins að höfða mál gegn Hollandi, ásamt Írlandi, Spáni og Frakklandi, fyrir Evrópudómstólnum fyrir að tilkynna ekki um innleiðingarákvæði. Holland var því eitt af fjórum landum Evrópusambandsins sem var eftirbátur.
Tímasetningin er sláandi. Degi áður, 7. júlí 2026, hafði öldungadeildin samþykkt lög um netöryggi og lög um viðnámsþrótt mikilvægra aðila. Hvort sú staðreynd að lögin voru samþykkt áður en tilvísunin var send hefur áhrif á niðurstöðu málsins á eftir að koma í ljós; það er dómstóllinn að ákveða.
Báðar lögin taka gildi 15. ágúst 2026. Lög um netöryggi innleiða NIS2-tilskipunina; lög um viðnámsþrótt mikilvægra aðila innleiða evrópsku tilskipunina um netöryggi (CER), sem miðar að viðnámsþrótt mikilvægra innviða. Fyrirtæki sem falla undir síðarnefnda tilskipunina verða formlega tilnefnd sem mikilvægir aðilar frá og með 15. ágúst 2026.
Við gildistöku falla núgildandi lög um öryggi neta og upplýsingakerfa úr gildi. Fyrir stofnanir sem falla nú þegar undir þau þýðir þetta þyngri skyldur; fyrir stofnanir sem falla undir gildissviðið í fyrsta skipti fellur undir alveg nýtt kerfi.
Skráning hjá NCSC
Mikilvæg ný skylda er skráning hjá Þjóðarmiðstöð netöryggis. Nauðsynlegir og mikilvægir aðilar verða að vera færðir í þjóðarskrá aðila. Sú skráning er skylda frá 15. ágúst 2026 og fer fram í gegnum MijnNCSC gáttina, þar sem notað er eHerkenning fyrir almennar stofnanir og SSOnRijk fyrir opinbera aðila. Breytingar á skráðum gögnum verða að berast innan fjórtán daga.
Skráning er ekki bara stjórnsýslulegt formsatriði. Þegar stofnanir hafa verið skráðar geta þær tengst þjónustu CSIRT-stofnunar sinnar, sem býður upp á vörur og þjónustu til að auka viðnámsþrótt og stuðning ef atvik koma upp. Undirbúið skráninguna með góðum fyrirvara svo að innleiðing hefjist ekki fyrr en eftir gildistöku.
Eftirlit og framfylgd
Lög um netöryggi kveða á um aðgreint eftirlitskerfi. Mikilvægir aðilar eru háðir fyrirbyggjandi eftirliti: eftirlitsaðili getur haft stöðugt eftirlit að eigin frumkvæði, án þess að til komi sérstakt atvik eða merki. Mikilvægir aðilar eru háðir viðbragðseftirliti, þar sem eftirlitsaðili bregst í meginatriðum við atviki, kvörtun eða öðru raunverulegu merki.
Eftirlit er skipt á milli nokkurra stofnana. Frá og með 15. ágúst 2026 hefur hollenska eftirlitsstofnunin fyrir stafræna innviði eftirlit með stofnunum í níu geirum; aðrir eftirlitsaðilar eru tilnefndir fyrir aðra geira. Ákvarðið hvaða eftirlitsaðili er hæfur fyrir ykkar stofnun.
Verkfærakisturnar fyrir framkvæmd eru fjölbreyttar og innihalda:
- öryggisskönnun eða öryggisúttekt;
- bindandi fyrirmæli;
- stjórnsýslufyrirmæli eða fyrirmæli sem varða sektargreiðslu;
- birting brots;
- stjórnsýslusekt;
- fyrir nauðsynlega aðila: ógilding vottunar, heimildar eða stjórnarmanns.
Fyrir nauðsynlega aðila er hámarkssekt að minnsta kosti 10 milljónir evra eða 2% af heildarársveltu um allan heim, hvort sem er hærra. Fyrir mikilvæga aðila er hún að minnsta kosti 7 milljónir evra eða 1.4% af ársveltu um allan heim, hvort sem er hærra. Endanleg sektarfjárhæð fer eftir aðstæðum málsins, þar á meðal eðli, alvarleika og lengd brotsins, umfangi sök og þeim aðgerðum sem gripið hefur verið til.
Hvað getur stofnunin þín gert núna?
- Framkvæmið sjálfsmat. Kannið hvort stofnunin sé virk í tilgreindum geira og uppfylli stærðarmörk.
- Ákvarðið rétta flokkinn. Kannið hvort stofnunin telst nauðsynleg eða mikilvæg aðili og hvaða yfirmaður er hæfur.
- Undirbúið skráninguna. Safnið gögnum sem þarf til skráningar hjá NCSC í gegnum MijnNCSC.
- Prófaðu ráðstafanir varðandi umönnunarskyldu. Metið núverandi ráðstafanir varðandi áhættugreiningu, viðbrögð við atvikum, rekstrarstöðugleika, öryggi í framboðskeðju, netöryggi, veikleika, fjölþátta auðkenningu og dulritun.
- Setjið upp tilkynningarferli. Skráið hver metur hvort atvik sé tilkynningarskylt, hver tilkynnir og hvernig 24 tíma, 72 tíma og eins mánaðar frestum er fylgt.
- Fáðu stjórnina til að taka þátt á sýnilegan hátt. Skráðu hvaða ákvarðanir stjórnin hefur tekið, hvaða þjálfun hefur verið haldin og hvernig eftirlit með framkvæmdinni er haft.
- Hafðu framboðskeðjuna með í huga. Stór hluti veikleika kemur ekki upp innan fyrirtækisins sjálfs heldur hjá birgjum og þjónustuaðilum. Farðu yfir samninga þína um öryggisráðstafanir, tilkynningarskyldu og réttindi til endurskoðunar.
Að lokum
Lög um netöryggi og lög um viðnámsþrótt mikilvægra aðila fela í sér verulega hertingu á skyldum varðandi netöryggi. Víðtækara gildissvið, raunhæfar aðgerðir til að gæta varúðar, þröng tilkynningarfrestur, persónuleg ábyrgð stjórnenda og umfangsmikið verkfærakista til framfylgdar þýða að stofnanir geta ekki látið þetta mál liggja á hakanum. Með gildistöku 15. ágúst 2026 er undirbúningstíminn stuttur.
Law & More aðstoðar fyrirtæki, stjórnendur og eftirlitsaðila við að ákvarða stöðu sína samkvæmt NIS2 og hollensku netöryggislögunum, setja upp og prófa aðgerðir til aðgátskyldu, undirbúa skráningu hjá NCSC og festa netöryggisstefnu í lög.
Viltu að staða stofnunar þinnar samkvæmt nýju reglunum verði metin? Hafðu samband við okkur til að ræða málið án skuldbindinga.
Algengar spurningar
Hér að neðan svörum við þeim spurningum sem okkur eru oftast spurðar um þetta efni.
Hvenær tekur hollenska netöryggislögin gildi?
Þann 15. ágúst 2026 samþykkti öldungadeildin lög um netöryggi og lög um viðnámsþrótt mikilvægra aðila þann 7. júlí 2026. Við gildistöku falla núgildandi lög um öryggi neta og upplýsingakerfa (Wbni) úr gildi.
Fellur stofnunin mín undir NIS2?
Það fer eftir geira þínum og stærð. NIS2 nær yfir átján tilgreinda geira og, innan þeirra geira, að jafnaði stofnanir með að minnsta kosti 50 starfsmenn eða ársveltu eða efnahagsreikning sem er yfir 10 milljónum evra. Ákveðnir aðilar falla undir ákvæði óháð stærð.
Verð ég látinn vita ef stofnunin mín fellur undir gildissviðið?
Nei. Fyrirtæki bera sjálf ábyrgð á að meta hvort þau falli undir netöryggislögin. Ef beðið er með mat á sér hættu á að skyldur gilda áður en matið hefur verið framkvæmt.
Hver er munurinn á nauðsynlegri og mikilvægri einingu?
Það ákvarðar umfang eftirlitsins og fjárhæð hugsanlegra sekta. Mikilvægir aðilar eru undir fyrirbyggjandi eftirliti, þar sem eftirlitsaðili getur athugað það að eigin frumkvæði. Mikilvægir aðilar eru undir viðbragðseftirliti, ef atvik, kvörtun eða önnur merki koma upp.
Hvað felst í umönnunarskyldunni?
Að grípa til viðeigandi og hlutfallslegra tæknilegra, rekstrarlegra og skipulagslegra ráðstafana til að stjórna áhættu fyrir net- og upplýsingakerfi þín, sem ná yfir málefni eins og áhættugreiningu, meðhöndlun atvika, rekstrarstöðugleika, öryggi framboðskeðjunnar, netöryggi, veikleika, fjölþátta auðkenningu og dulritun. Þú verður að geta rökstutt hvers vegna valdar ráðstafanir eru viðeigandi.
Hvaða tilkynningarfrestir gilda eftir atvik?
Viðvörun innan sólarhrings, formleg tilkynning innan 72 klukkustunda með upphafsmati á alvarleika og áhrifum og lokaskýrsla innan eins mánaðar í síðasta lagi. Tilkynningarferlið skal sett upp fyrirfram.
Þarf stofnunin mín að skrá sig?
Já. Skráning í þjóðskrá aðila er skylda frá 15. ágúst 2026 og fer fram í gegnum MijnNCSC, með því að nota eHerkenning eða, fyrir opinbera aðila, SSOnRijk. Breytingar verða að berast innan fjórtán daga. Þegar þú hefur skráð þig geturðu tengst þjónustu CSIRT-stofnunarinnar.
Hvaða ábyrgð hvílir á stjórninni?
Stjórnin verður að samþykkja öryggisráðstafanirnar, hafa eftirlit með framkvæmd þeirra, geta metið netáhættu og sjálf gangast undir þjálfun. Tilskipunin fjallar um persónulega ábyrgð framkvæmdastjórnar vegna brota á reglum, þannig að ákvarðanir, þjálfun og eftirlit skal skráð með sannanlegum hætti.
Hversu háar eru sektirnar?
Fyrir nauðsynlega aðila að minnsta kosti 10 milljónir evra eða 2% af alþjóðlegri ársveltu; fyrir mikilvæga aðila að minnsta kosti 7 milljónir evra eða 1.4%, hvort sem er hærra í hverju tilviki. Endanleg upphæð fer eftir þáttum eins og eðli, alvarleika og lengd brotsins og umfangi sök.
Hver hefur eftirlit með eftirfylgni?
Það er mismunandi eftir geira. Frá 15. ágúst 2026 hefur hollenska eftirlitsstofnunin fyrir stafræna innviði eftirlit með stofnunum í níu geirum; aðrir eftirlitsaðilar eru tilnefndir fyrir aðra geira. Ákvarðið hvaða eftirlitsaðili er hæfur fyrir ykkar stofnun.
Hvers vegna hefur Hollandi verið vísað til Hæstaréttar?
Vegna seinkaðrar innleiðingar á NIS2. Þann 8. júlí 2026 ákvað framkvæmdastjórn Evrópusambandsins að höfða mál gegn Hollandi, ásamt Írlandi, Spáni og Frakklandi, fyrir Evrópudómstólnum fyrir að tilkynna ekki um innleiðingarráðstafanir. Sú staðreynd að netöryggislögin voru samþykkt einum degi fyrr lýkur ekki í sjálfu sér þeirri málsmeðferð.
Á þetta líka við um mína birgja?
Öryggi í framboðskeðjunni er eitt af þeim sviðum sem felast í umönnunarskyldu. Stór hluti veikleika kemur upp hjá birgjum og þjónustuaðilum. Farið yfir samninga ykkar um öryggisfyrirkomulag, tilkynningarskyldu og réttindi til endurskoðunar.
