NIS2 og hollenska netöryggislögin: gildissvið, skyldur og frestir

Hollenska netöryggislögin ( Cyberbeveiligingswet , Cbw), sem innleiða NIS2-tilskipunina, tóku gildi 15. ágúst 2026. Þau eiga við um meðalstór og stór fyrirtæki í átján tilgreindum geirum og fjölda mikilvægra þjónustuaðila óháð stærð; ríkisstjórnin áætlar að þau nái til um 8,000 fyrirtækja í Hollandi, en mörg þeirra voru ekki háð neinum netöryggisreglum áður.

Þrjár skyldur eru kjarninn í því. Fyrirtæki sem falla undir gildissviðið verður að grípa til viðeigandi og hlutfallslegra ráðstafana til að stjórna áhættu fyrir net- og upplýsingakerfi sín, þar á meðal framboðskeðju sína (umönnunarskylda ) . Það verður að tilkynna umtalsvert atvik í þremur skrefum: viðvörun innan sólarhrings, tilkynningu innan 72 klukkustunda og lokaskýrslu innan eins mánaðar. Og það verður að skrá sig hjá Þjóðlegu netöryggismiðstöðinni (NCSC).

Fyrir margar stjórnir er lykilbreytingin hvar ábyrgðin liggur. Samkvæmt 20. grein tilskipunarinnar verður stjórnendateymi að samþykkja áhættustýringarráðstafanir, hafa eftirlit með framkvæmd þeirra og fylgja þjálfun og er hægt að draga þá til ábyrgðar ef skyldum er ekki fullnægt. Þá ábyrgð er ekki hægt að fela upplýsingatæknideild eða utanaðkomandi aðila.

Hvað er NIS2?

NIS2 er tilskipun (ESB) 2022/2555, önnur evrópska tilskipunin um net- og upplýsingaöryggi. Hún kom í stað fyrstu tilskipunarinnar (NIS1) frá 18. október 2024 og hefur mun víðtækara gildissvið og strangara eftirlit og framfylgd.

Þar sem NIS1 greindi á milli rekstraraðila nauðsynlegra þjónustu og stafrænna þjónustuaðila, greinir NIS2 á milli nauðsynlegra aðila ( essentiële entiteiten ) og mikilvægra aðila ( belangrijke entiteiten ). Sá greinarmunur ákvarðar hversu ítarlegt eftirlit er og hversu háar sektir geta verið.

Hvaða stofnanir falla undir NIS2?

NIS2 gildir um stofnanir sem starfa í átján tilgreindum geirum sem eru að minnsta kosti meðalstórir, auk ákveðinna þjónustuaðila óháð stærð þeirra. Þú verður að meta þetta sjálfur; enginn yfirmaður mun segja þér það.

Hvaða geirar eru undirritaðir?

Átján geirar eru skipt í mjög mikilvæga geira (viðauki I við tilskipunina) og aðra mikilvæga geira (viðauki II).

• Mikilvægir geirar: orka, samgöngur, bankastarfsemi, innviðir fjármálamarkaða, heilbrigðisþjónusta, drykkjarvatn, skólp, stafræn innviðir, stjórnun upplýsinga- og samskiptatækni fyrir fyrirtæki, opinber stjórnsýsla og geimferðir.
• Aðrir mikilvægir geirar: póst- og hraðsendingarþjónusta, meðhöndlun úrgangs, efnaiðnaður, matvæli, framleiðsla, stafrænir þjónustuaðilar og rannsóknarstofnanir.

Innan hvers geira er tilgreint í tilskipuninni hvaða gerðir fyrirtækja falla undir hana. Í framleiðslu, til dæmis, á þetta við um framleiðendur lækningatækja, tölva og rafeindabúnaðar, raftækja, véla og ökutækja, ekki alla framleiðendur.

Hver er stærðarmörkin?

Fyrirtæki í tilgreindum geira fellur undir NIS2 ef það er að minnsta kosti meðalstórt fyrirtæki samkvæmt tilmælum 2003/361/EB. Í reynd þýðir þetta 50 starfsmenn eða fleiri, eða ársvelta og árleg efnahagsreikningstöla sem bæði eru yfir 10 milljónum evra.

Samkvæmt evrópskri skilgreiningu verður starfsmannafjöldi og fjárhagsupplýsingar samstarfsfyrirtækja og tengdra fyrirtækja að meginreglu að vera meðtaldar. Dótturfélag með 30 starfsmenn getur því fallið undir gildissviðið ef það tilheyrir stærri samstæðu.

Ákveðnar stofnanir falla undir gildissviðið óháð stærð, þar sem þjónusta þeirra er talin sérstaklega mikilvæg. Þar á meðal eru:

• þjónustuaðilar almennra rafrænna fjarskiptaneta og þjónustu;
• traustþjónustuaðilar;
• þjónustuaðilar sem veita skráningu léna, skráningarþjónustur fyrir efsta lén og þjónustuaðilar DNS;
• opinberar stjórnsýslustofnanir, sem í Hollandi eru meðal annars ráðuneyti, héruð, sveitarfélög og sameiginleg fyrirkomulag þeirra.

Um 8,000 stofnanir falla undir þetta, sem er mun fleiri en samkvæmt fyrri lögum um öryggi net- og upplýsingakerfa ( Wet beveiliging netwerk- en informatiesystemen , Wbni). Meðalstórir framleiðendur, matvælaframleiðendur, rannsóknarstofnanir og stafrænir þjónustuaðilar geta fallið undir þetta. Ríkisstjórnin býður upp á ítarlegt sjálfsmatsverkfæri í gegnum vefsíður NCTV og NCSC.

Hvað krefst umönnunarskyldunnar?

Mikilvægir og nauðsynlegir aðilar verða að grípa til viðeigandi og hlutfallslegra tæknilegra, rekstrarlegra og skipulagslegra ráðstafana til að stjórna áhættu fyrir net- og upplýsingakerfi sín. Ráðstafanirnar verða að minnsta kosti að ná til þeirra efna sem talin eru upp í 21. gr. tilskipunarinnar:

• áhættugreining og upplýsingaöryggisstefna;
• meðhöndlun atvika;
• rekstrarstöðugleiki, afritunarstjórnun og viðbrögð við hamförum;
• öryggi framboðskeðjunnar;
• öryggi við kaup, þróun og viðhald kerfa, þar með talið meðhöndlun veikleika;
• netöryggi og þjálfun starfsfólks;
• fjölþátta auðkenning og örugg samskipti;
• dulritun og, þar sem við á, dulkóðun;
• öryggi mannauðs, aðgangsstýring og eignastýring;
• reglubundið mat á árangri aðgerðanna.

Aðgerðirnar verða að vera í réttu hlutfalli við stærð stofnunarinnar og raunverulega áhættu hennar, þannig að minni mikilvægur aðili þarf ekki sömu ráðstafanir og stór nauðsynlegur aðili. Þú verður samt að geta sýnt yfirmanni hvaða áhættu þú bentir á, hvaða ráðstafanir þú gerðir og hvers vegna þær eru viðeigandi.

Hvernig virkar öryggi framboðskeðjunnar í reynd?

Þú metur netöryggi beinna birgja þinna og þjónustuaðila og gerir samninga við þá. Mörg atvik byrja hjá birgja frekar en innan fyrirtækisins sjálfs.

Í reynd þýðir þetta að fara yfir samninga ykkar. Gagnlegar ákvæði ná yfir lágmarksöryggiskröfur, skyldu birgja til að tilkynna ykkur atvik tafarlaust, réttindi til endurskoðunar, undirverktaka og samvinnu við atvik.

Hvað verður þú að gera eftir atvik?

Eftir alvarlegt atvik verður þú að tilkynna í þremur áföngum: viðvörun innan sólarhrings, tilkynning innan 72 klukkustunda og lokaskýrsla innan eins mánaðar. Frestirnir eru frá þeirri stundu sem þú verður var við atvikið.

Atvik telst verulegt ef það hefur valdið eða getur valdið alvarlegum rekstrartruflunum eða fjárhagslegu tjóni fyrir stofnunina, eða verulegu efnislegu eða óefnislegu tjóni fyrir aðra. Samkvæmt 23. gr. tilskipunarinnar:

• innan sólarhrings: snemmbúin viðvörun til lögbærs viðbragðsteymis vegna tölvuöryggisatvika (CSIRT) eða yfirvalds, þar sem fram kemur hvort atvikið kann að hafa stafað af ólögmætum eða illgjörnum athöfnum og hvort það kann að hafa áhrif yfir landamæri;
• innan 72 klukkustunda: tilkynning sem uppfærir snemmbúna viðvörunina og gefur upphaflegt mat á alvarleika og áhrifum, og ef þær eru tiltækar, vísbendingar um ógn;
• innan eins mánaðar í síðasta lagi: lokaskýrsla þar sem lýst er atvikinu, líklega orsök þess, ráðstöfunum sem gripið hefur verið til og hugsanlegum áhrifum sem ná yfir landamæri.

Setjið upp ferlið fyrirfram: hver ákveður hvort atvik sé tilkynningarskylt, hver tilkynnir og hvernig stjórninni er tilkynnt. Ef um persónuupplýsingar er að ræða gæti verið krafist sérstakrar tilkynningar til Persónuverndarstofnunar Hollands (Autoriteit Persoonsgegevens) innan 72 klukkustunda samkvæmt 33. gr. GDPR.

Hvaða ábyrgð hvílir á stjórninni?

Samkvæmt 20. grein tilskipunarinnar verður stjórnin að samþykkja ráðstafanir til að stjórna áhættu í netöryggi, hafa eftirlit með framkvæmd þeirra og getur verið ábyrg fyrir brotum. Meðlimir hennar verða einnig að sækja þjálfun.

Skráðu þátttöku stjórnar á þann hátt að hægt sé að sýna fram á: þjálfun sem haldin hefur verið, ákvarðanir stjórnar, samþykkta stefnu, áhættumat og eftirlit með framkvæmd. Fyrir stjórnarmenn hollenskra fyrirtækja skiptir þetta einnig máli fyrir staðalinn um rétta framkvæmd skyldna samkvæmt 2:9. grein hollensku borgaralagabókarinnar.

Hvernig hefur Holland innleitt NIS2?

Með lögum um netöryggi og lögum um viðnámsþrótt mikilvægra aðila ( Wet weerbaarheid kritieke entiteiten , Wwke), sem bæði eru í gildi frá 15. ágúst 2026. Innleiðingarfrestur til 17. október 2024 var ekki náð.

Öldungadeildin ( Eerste Kamer ) samþykkti bæði lögin 7. júlí 2026. Degi síðar, 8. júlí 2026, ákvað framkvæmdastjórn Evrópusambandsins að höfða mál gegn Hollandi, ásamt Írlandi, Spáni og Frakklandi, fyrir Evrópudómstólnum fyrir að tilkynna ekki um innleiðingarákvæði.

Innviðatilskipunin (Wwke) innleiðir tilskipunina um endurskipulagningu mikilvægra innviða (CER) (tilskipun (ESB) 2022/2557) um efnislega viðnámsþrótt mikilvægra innviða; um 500 stofnanir eru formlega tilnefndar sem mikilvægar einingar af viðkomandi ráðherra. Við gildistöku laganna um mikilvæga innviði féll Wbni úr gildi.

Hvernig skráir maður sig hjá NCSC?

Mikilvægir aðilar verða að skrá sig í þjóðskrá aðila í gegnum Mijn.NCSC.nl vefgáttina. Skráning er skylda frá 15. ágúst 2026 og breytingar verða að berast innan tveggja vikna.

Aðgangur krefst rafrænnar Herkenningar á 3. stigi eða hærra; opinberir aðilar nota SSOnRijk. Breytingar eins og sameiningar eða nýtt IP-bil verða að berast innan tveggja vikna og yfirmaður getur framfylgt skráningu með sektum eða fyrirmælum sem varða viðurlögum. Þegar þú hefur skráð þig geturðu notað þjónustu CSIRT-kerfisins þíns, þar á meðal stuðning við atvik.

Hvernig er eftirlit og framkvæmd skipulögð?

Nauðsynlegir aðilar lúta fyrirbyggjandi eftirliti en mikilvægir aðilar viðbragðseftirliti. Báðir flokkar verða að uppfylla sömu grunnskyldur.

Í fyrirbyggjandi eftirliti getur yfirmaður kannað málið að eigin frumkvæði, til dæmis með því að óska ​​eftir upplýsingum eða fara í vettvangsheimsókn. Í viðbragðseftirliti bregst hann við atviki, kvörtun eða öðru raunverulegu merki.

Hollenska eftirlitsstofnunin fyrir stafræna innviði ( Rijksinspectie Digitale Infrastructuur , RDI) hefur eftirlit með níu geirum: orku, stafrænum innviðum, stjórnun upplýsinga- og samskiptatækni, opinberri stjórnsýslu, geimferðum, póst- og hraðsendingarþjónustu, framleiðslu, stafrænum þjónustuaðilum og rannsóknum. Aðrir eftirlitsaðilar eru tilnefndir fyrir hina geirana. Verkfærakisturnar innihalda öryggisúttektir, bindandi fyrirmæli, fyrirmæli sem varða sektum, birtingu brota og sektir; fyrir nauðsynlega aðila einnig svipting leyfis eða tímabundið bann stjórnarmanns.

Samkvæmt 34. grein tilskipunarinnar er hámarkssekt fyrir nauðsynlega aðila að minnsta kosti 10 milljónir evra eða 2% af heildarársveltu um allan heim, hvort sem er hærra. Fyrir mikilvæga aðila er hún að minnsta kosti 7 milljónir evra eða 1.4%. Raunveruleg sekt fer eftir eðli, alvarleika og lengd brotsins og umfangi sök.

Hvað ættir þú að athuga sem stofnun/stofnun sem er innan umfangs verkefnisins?

Byrjaðu með sjálfsmati og vinndu þaðan að aðgerðum, tilkynningarferli og þátttöku stjórnar. Skyldurnar hafa verið í gildi frá 15. ágúst 2026, án aðlögunartímabils.

• Kannaðu hvort þú starfar í tilgreindum geira og uppfyllir stærðarmörk, að teknu tilliti til fyrirtækja í samstæðunni.
• Ákvarðaðu hvort þú ert nauðsynlegur eða mikilvægur aðili og hvaða yfirmaður er hæfur.
• Skráðu þig hjá NCSC í gegnum Mijn.NCSC.nl og tilkynntu breytingar innan tveggja vikna.
• Prófaðu ráðstafanir þínar út frá tíu efnisatriðum 21. greinar tilskipunarinnar.
• Skráið hverjir tilkynna og hvernig 24 klukkustunda, 72 klukkustunda og eins mánaðar frestum er fullnægt.
• Skjalfesta ákvarðanir stjórnar, þjálfun og eftirlit.

Hvað ættir þú að athuga sem birgir fyrirtækis sem um ræðir?

Jafnvel þótt NIS2 nái ekki til þín, munu viðskiptavinir þínir oft færa kröfur þess yfir á þig með samningi. Athugaðu hvað þú ert að skrifa undir.

• Hvaða lágmarksöryggiskröfur eru settar í samningnum og er hægt að uppfylla þær?
• Innan hversu margra klukkustunda verður þú að tilkynna atvik til viðskiptavinar þíns?
• Hversu langt nær endurskoðunarréttur viðskiptavinarins og hver borgar fyrir endurskoðun?
• Er heimilt að gera undirverktakaverktaka og með hvaða skilyrðum?
• Er ábyrgð þín vegna öryggisatvika takmörkuð?

Hvað getum við gert fyrir þig með NIS2 og netöryggislögin?

Upplýsingatæknilögfræðingar okkar aðstoða fyrirtæki, stjórnendur og eftirlitsaðila með netöryggislögin.

• Við ákvörðum í samvinnu við þig hvort fyrirtækið þitt falli undir okkar umfang og í hvaða flokki.
• Við förum yfir skjöl þín um umönnunarskyldu gagnvart 21. grein tilskipunarinnar.
• Við drögum eða endurskoðum öryggis-, tilkynningar- og endurskoðunarákvæði í samningum birgja og viðskiptavina.
• Við settum upp tilkynningarferli um atvik, þar á meðal tengingu við tilkynningu um gagnaleka samkvæmt GDPR.
• Við ráðleggjum stjórninni um ábyrgð hennar og um skráningu ákvarðana og þjálfunar.

Yfirlit

• Hollenska netöryggislögin innleiða NIS2 og hafa gilt frá 15. ágúst 2026 fyrir um 8,000 stofnanir í átján geirum.
• Að jafnaði eru meðalstór og stór fyrirtæki í þessum geirum tryggð; sumir þjónustuaðilar eru tryggðir óháð stærð. Þú verður að meta þetta sjálfur.
• Helstu skyldurnar eru aðgátskylda, áfönguð tilkynning um mikilvæg atvik (24 klukkustundir, 72 klukkustundir, einn mánuður) og skráning hjá NCSC.
• Stjórnin verður að samþykkja og hafa eftirlit með aðgerðunum, fylgja þjálfun og getur borið ábyrgð.
• Sektir geta numið að minnsta kosti 10 milljónum evra eða 2% af heimsveltu fyrir nauðsynlega aðila og að minnsta kosti 7 milljónum evra eða 1.4% fyrir mikilvæga aðila.

Algengar spurningar