NIS2 og netöryggislögin: hvaða kröfur eru gerðar til þín?

Innleiðing NIS2-tilskipunarinnar í Hollandi, netöryggislögin ( Cyberbeveiligingswet , Cbw), hafa verið í gildi frá 15. ágúst 2026. Þau koma í stað eldri laga um öryggi net- og upplýsingakerfa ( Wet beveiliging netwerk- en informatiesystemen , Wbni) og eiga við um stofnanir sem eru skilgreindar sem nauðsynlegar eða mikilvægar einingar í átján geirum, þar á meðal orku, drykkjarvatni, stafrænum innviðum, heilbrigðisþjónustu, samgöngum, opinberri stjórnsýslu, framleiðslu, úrgangi og póstþjónustu. Þau ná til meira en 8,000 stofnana í Hollandi.

Þrjár skyldur skilgreina það. Sú fyrri er umönnunarskylda ( zorgplicht ): aðili sem fellur undir gildissviðið verður að grípa til viðeigandi og hlutfallslegra tæknilegra, rekstrarlegra og skipulagslegra ráðstafana til að stjórna áhættu fyrir net- og upplýsingakerfi sín og til að takmarka afleiðingar atvika. Önnur er tilkynningarskylda ( meldplicht ): tilkynna skal umtalsvert atvik til lögbærs viðbragðsteymis vegna tölvuöryggisatvika og til yfirmanns geira innan lögbundins frests, sem hefst með snemmbúinni viðvörun innan sólarhrings, ítarlegri tilkynningu innan sjötíu og tveggja klukkustunda og lokaskýrslu innan mánaðar. Þriðja er skráning ( registratieplicht ) hjá Þjóðarmiðstöð netöryggis (NCSC).

Það sem greinir NIS2 frá fyrri reglugerðum um netöryggi er hvar ábyrgðin liggur. Stjórnendur verða að samþykkja áhættustýringarráðstafanir og hafa eftirlit með framkvæmd þeirra, þeir geta borið ábyrgð á mistökum og þeir eru skyldaðir til að sækja þjálfun. Gætniskyldan nær einnig til framboðskeðjunnar, sem þýðir að hún verður að koma til framkvæmda með samningum við birgja og þjónustuaðila.

Á NIS2 við um fyrirtækið þitt?

NIS2 gildir ef fyrirtæki þitt starfar í einum af átján skráðum geirum og uppfyllir stærðarmörk, eða ef það tilheyrir flokki sem fellur undir ákvæði óháð stærð. Lög um netöryggi hafa verið í gildi frá 15. ágúst 2026 og ekkert almennt aðlögunartímabil er í gildi: skyldurnar gilda nú.

Holland innleiddi tilskipunina síðar en evrópski fresturinn rann út. Margar eldri greinar vísa enn til „frests árið 2025“. Sú dagsetning á ekki lengur við. Það sem skiptir máli er að hollensku reglurnar eru í gildi og að eftirlitsaðilar geta framfylgt þeim.

Hvaða geirar og stofnanir falla undir umfangið?

Lögin ná yfir átján geira, sem eru taldir upp í tveimur viðaukum. Fyrsti viðaukinn inniheldur geira sem eru mjög mikilvægir, svo sem orku, samgöngur, bankastarfsemi, innviði fjármálamarkaða, heilbrigðisþjónustu, drykkjarvatn, frárennsli, stafræna innviði, opinbera stjórnsýslu og geimferðaþjónustu. Annar viðaukinn inniheldur aðra mikilvæga geira, svo sem póst- og hraðsendingarþjónustu, meðhöndlun úrgangs, efnaiðnað, matvæli, framleiðslu, stafræna þjónustuaðila og rannsóknir.

Innan þessara geira ræður stærðin því hvort fyrirtækið þitt er undir þessu svæði. Samkvæmt NCSC fellur fyrirtæki þitt undir þetta svæði ef það uppfyllir að minnsta kosti eitt af þessum skilyrðum:

• Starfsfólkþað hefur 50 starfsmenn eða fleiri í vinnu (í fullu starfi)
• Velta og efnahagsreikningurÞað hefur færri en 50 starfsmenn í vinnu, en bæði ársvelta þess og heildarefnahagsreikningur er yfir 10 milljónir evra
• GroupSamstarfsfyrirtæki og tengd fyrirtæki teljast með í þessum tölum, þannig að lítið dótturfélag stórs samstæðu getur samt sem áður verið tryggt

Sumar stofnanir falla undir þetta óháð stærð þeirra. Þar á meðal eru DNS-þjónustuaðilar, þjónustuaðilar almennra rafrænna fjarskiptaneta eða þjónustu, traustþjónustuaðilar, skráningar fyrir höfuðlénsheiti og ríkisstofnanir.

Innan gildissviðs löganna er greint á milli nauðsynlegra og mikilvægra aðila. Að jafnaði eru stærri stofnanir í mjög mikilvægum geirum nauðsynlegir aðilar; aðrir eru mikilvægir aðilar. Munurinn skiptir máli fyrir eftirlit og hámarkssektir. Hollenska eftirlitsstofnunin fyrir stafræna innviði (RDI) býður upp á sjálfsmatsverkfæri (NIS2-Zelfevaluatie) á regelhulpenvoorbedrijven.nl til að hjálpa þér að taka afstöðu. Ef niðurstaðan er óljós, til dæmis vegna hópuppbyggingar eða blandaðrar starfsemi, láttu hana meta og skráðu rökstuðninginn.

Hvað krefst umönnunarskyldunnar?

Varúðarskyldan krefst viðeigandi og hlutfallslegra ráðstafana til að stjórna áhættu fyrir net og upplýsingakerfi fyrirtækisins. „Hóflegt“ þýðir að ráðstafanirnar verða að passa við stærð fyrirtækisins, áhættuþáttinn og hugsanleg áhrif atviks á samfélagið og hagkerfið.

Tilskipunin setur lágmarksgrunnlínu í 21. gr. (2) NIS2 tilskipunarinnar. Í stuttu máli verða aðgerðir þínar að ná til:

• Áhættugreining: stefnur um áhættugreiningu og öryggi upplýsingakerfa þinna
• Meðhöndlun atvikaverklagsreglur til að greina, meðhöndla og endurheimta atvik
• SamfellaRekstraröryggi, afritun, endurheimt og kreppustjórnun
• Birgðakeðjaöryggi í samskiptum þínum við birgja og þjónustuaðila
• Þróun og viðhaldöryggi við kaup, þróun og viðhald kerfa, þar á meðal meðhöndlun veikleika
• Prófaðferðir til að meta hvort aðgerðir þínar séu árangursríkar
• Hreinlæti og þjálfungrunnþjálfun í netöryggi og hreinlæti fyrir starfsfólk
• Dulkóðun og aðgangurnotkun dulkóðunar, mannauðsöryggis, aðgangsstýringar og eignastýringar, þar á meðal örugg auðkenning

Lögin kveða ekki á um einn ákveðinn staðal. Margar stofnanir nota núverandi upplýsingaöryggisramma til að skipuleggja ráðstafanir sínar. Það sem skiptir máli fyrir yfirmann er hvort hann geti sýnt fram á að ráðstafanir hans byggist á áhættumati og virki í raun.

Hvernig virkar tilkynningarskyldan og framfylgdin?

Tilkynna skal alvarlegt atvik í þremur áföngum: viðvörun innan sólarhrings, tilkynningu um atvik innan 72 klukkustunda og lokaskýrslu innan eins mánaðar. Þú tilkynnir til lögbærs viðbragðsteymis vegna tölvuöryggisatvika (CSIRT) og til yfirmanns þíns geira.

24 tíma viðvörunin er stutt og þarf ekki að vera tæmandi. Hún gefur aðallega til kynna að eitthvað sé að gerast og hvort um illvilja eða áhrif yfir landamæri sé að ræða. 72 tíma viðvörunin gefur fyrsta mat á alvarleika og áhrifum. Lokaskýrslan lýsir orsökinni, þeim ráðstöfunum sem gripið hefur verið til og hugsanlegum afleiðingum yfir landamæri.

Eftirlit er skipt eftir geira. Eftir því hvaða starfsemi þú hefur, geta yfirmenn þínir til dæmis verið Eftirlitsstofnun manns og umhverfis (ILT), De Nederlandsche Bank (DNB), hollenska fjármálamarkaðseftirlitið (AFM), heilbrigðis- og ungmennaeftirlitið (IGJ), hollenska matvæla- og neytendaeftirlitið (NVWA) eða RDI. Eftirlitsaðilar hafa framfylgdarvald, þar á meðal að leggja á stjórnsýslusektir.

NIS2 skarast einnig við almennu persónuverndarreglugerðina (GDPR). Ef atvik varðar persónuupplýsingar gæti verið krafist sérstakrar tilkynningar til Persónuverndarstofnunar Hollands ( Autoriteit Persoonsgegevens ). Samræmdu NIS2 verklagsreglur þínar við verklagsreglur þínar um gagnaleka, þannig að eitt atvik leiði ekki til tveggja aðskildra, ósamræmdra ferla.

Hvaða breytingar verða fyrir stjórnendur, starfsfólk og fyrirtækið?

Mikilvægasta breytingin er sú að netöryggi er ekki lengur mál upplýsingatæknideildarinnar eingöngu. NIS2 leggur ábyrgðina hjá stjórnendum og væntir þess að öll stofnunin, þar á meðal starfsfólk og birgjar, leggi sitt af mörkum.

Hvað þýðir NIS2 fyrir starfsmenn?

NIS2 skapar ekki ný einstaklingsbundin réttindi eða skyldur fyrir starfsmenn beint; skyldurnar hvíla á stofnuninni. Í reynd verður vinnuveitandinn þó að þýða umönnunarskylduna í reglum og þjálfun fyrir starfsfólk.

Grunnþjálfun í netöryggi og hreinlæti er hluti af lágmarksráðstöfunum. Það þýðir að starfsmenn þínir ættu til dæmis að:

• MeðvitundTaktu þátt í þjálfun um netveiðar, lykilorð og örugga vinnu
• Innri skýrslugerðvita hvernig og hverjum þeir tilkynna grun um atvik eða veikleika, svo að þú getir staðið við 24 tíma frestinn
• aðgangurnota örugga auðkenningu og hafa aðeins aðgang að þeim kerfum sem þeir þurfa fyrir vinnu sína

Skráðu þessar reglur í stefnu eða starfsmannahandbók. Ef þú kynnir nýjar eftirlitsreglur með kerfum eða hegðun starfsmanna skaltu athuga reglurnar um friðhelgi einkalífs og, ef við á, hlutverk starfsmannaráðsins.

Hvað verður stjórnin að gera?

Stjórnin verður að samþykkja ráðstafanir til að stjórna áhættu í netöryggi og hafa eftirlit með framkvæmd þeirra. Meðlimir hennar verða að sækja þjálfun svo þeir hafi næga þekkingu til að meta áhættu og ráðstafanir. Ef fyrirtækið fylgir ekki ákvæðunum getur stjórnin verið dregin til ábyrgðar.

Í reynd þýðir þetta að stjórnin getur ekki lengur einfaldlega falið öðrum verkefnum í netöryggi. Stjórnarmenn ættu að:

• Ákveðasamþykkja áhættumatið og ráðstafanirnar formlega og skrá þá ákvörðun
• Fylgjast meðfá reglulegar skýrslur um stöðu aðgerðanna og um atvik
• Læra: fylgja þjálfun og halda þeirri þekkingu uppfærðri
• Úthluta: tryggja að nægjanlegt fjármagn, starfsfólk og skýr hlutverk séu til staðar

Hvort stjórnarmaður geti borið persónulega ábyrgð á tjóni fer eftir almennum reglum hollenskra félagaréttar og staðreyndum málsins. Skýr ákvarðanataka og skjölun hjálpa til við að sýna fram á að stjórnin tók hlutverk sitt alvarlega.

Hverjar eru sektirnar og aðrar afleiðingar?

Eftirlitsaðilar geta lagt sektir allt að 10 milljónum evra eða 2% af árlegri heimsveltu á nauðsynlega aðila og allt að 7 milljónum evra eða 1.4% á mikilvæga aðila, hvort sem er hærra. Þetta eru hámarksupphæðir; raunveruleg sekt fer eftir alvarleika brotsins og aðstæðum.

Sektir eru ekki eina áhættan. Yfirmaður getur einnig notað aðrar framfylgdaraðgerðir til að fá þig til að fara eftir reglum. Alvarlegt atvik getur einnig leitt til krafna frá viðskiptavinum eða viðskiptafélögum, samningsbundinna afleiðinga við birgja og orðsporsskaða. Góður undirbúningur verndar þig því á marga vegu.

Hvernig tekst þér á við birgja og samninga?

Skyldan til að gæta varúðar nær einnig til framboðskeðjunnar, þannig að þú verður einnig að stjórna netöryggisáhættu birgja og þjónustuaðila. Í reynd er þetta að mestu leyti gert með samningum.

Atriði sem þarf að fjalla um í samningum við birgja eru meðal annars:

• Öryggiskröfurráðstafanir sem birgirinn verður að grípa til, í samræmi við þitt eigið áhættumat
• Tilkynning um atvikstuttur frestur fyrir birgjann til að upplýsa þig um atvik, svo þú getir staðið við þína eigin skýrslufresti
• Endurskoðun og upplýsingarréttur þinn til að óska ​​eftir upplýsingum og láta kanna hvort farið sé að reglum
• Undirverktaka: reglur um notkun undirverktaka og flutning skyldna
• Ábyrgð og uppsögnHvað gerist ef birgirinn fer ekki eftir reglum og hvernig hægt er að slíta sambandinu

Farið fyrst yfir núverandi samninga við mikilvægustu upplýsingatækni- og þjónustuaðila ykkar. Nýir samningar geta innihaldið staðlaðar NIS2-ákvæði strax í upphafi.

Hvað ættir þú að athuga sem stofnun/stofnun sem er innan umfangs verkefnisins?

Lögin hafa verið í gildi frá 15. ágúst 2026 án almenns aðlögunartímabils. Þessar athuganir ná yfir þær skyldur sem eftirlitsaðili mun skoða fyrst.

• Ákvarðið með sjálfsmati RDI hvort þið eruð nauðsynleg eða mikilvæg aðili, takið með félög samstæðunnar og skráið rökstuðninginn.
• Skráðu þig hjá NCSC og haltu skráningunni uppfærðri.
• Fá stjórnina til að samþykkja áhættumatið og ráðstafanirnar formlega og skrá þá ákvörðun.
• Skipuleggið þjálfun fyrir stjórnendur og grunnþjálfun í netheilbrigði fyrir starfsfólk.
• Tilgreinið þann sem ákveður hvort atvik teljist alvarlegt og tilkynnir innan 24 klukkustunda, 72 klukkustunda og eins mánaðar.
• Samræma NIS2-ferlið við tilkynningu um gagnaleka til Persónuverndarstofnunar Hollands innan 72 klukkustunda samkvæmt GDPR.

Hvað ættir þú að athuga sem birgir?

Viðskiptavinir sem falla undir samninginn færa þér umönnunarskyldu sína í gegnum samninga. Athugaðu hvað þú ert beðinn um að undirrita áður en þú samþykkir.

• Kannaðu hvort þín eigin stofnun falli undir lögin, til dæmis sem stafrænn þjónustuaðili eða þjónustuaðili í upplýsingatækni.
• Gakktu úr skugga um að fresturinn til að tilkynna um atvik sem þú ert beðinn um að samþykkja sé raunhæfur, miðað við 24 klukkustunda frest viðskiptavinarins.
• Komið saman um umfang og kostnað við endurskoðun og upplýsingarétt viðskiptavinarins.
• Athugið ábyrgðar- og uppsagnarákvæði sem fylgja öryggiskröfunum.
• Athugaðu hvaða skyldur þú verður að færa yfir á þína eigin undirverktaka.

Hvað getum við gert fyrir þig með NIS2 og netöryggislögin?

Teymi okkar í upplýsingatæknilögfræði aðstoðar fyrirtæki og birgja þeirra við gerð umfangsmats, allt frá umfangsmati til eftirlits.

• Við metum hvort stofnun þín sé nauðsynleg eða mikilvæg eining, þar á meðal innan hópsamtaka.
• Við drögum að stjórnarályktun, öryggisstefnu og verklagi varðandi atvik og tilkynningar.
• Við drögum og endurskoðum NIS2-ákvæði í samningum birgja og viðskiptavina.
• Við ráðleggjum stjórnarmönnum um ábyrgð þeirra og ábyrgð samkvæmt hollenskum félagalögum.
• Við aðstoðum við rannsókn RDI eða yfirmanns þíns í viðkomandi geira og semjum mótmæli (bezwaar) gegn sektarákvörðun.

Yfirlit

• Netöryggislögin, hollenska innleiðingin á NIS2, hafa gilt frá 15. ágúst 2026 fyrir meira en 8,000 stofnanir í átján geirum.
• Fyrirtæki þitt er almennt tryggt ef það hefur að minnsta kosti 50 starfsmenn, eða veltu og efnahagsreikning er bæði yfir 10 milljónum evra; sumir þjónustuaðilar eru tryggðir óháð stærð.
• Helstu skyldurnar eru aðgátskylda, að tilkynna um mikilvæg atvik (24 klukkustundir, 72 klukkustundir, einn mánuður) og skráning hjá NCSC.
• Stjórnin samþykkir og hefur eftirlit með ráðstöfunum, fylgir þjálfun og getur borið ábyrgð; öryggi framboðskeðjunnar fer að mestu leyti fram í gegnum samninga.
• Sektir geta numið 10 milljónum evra eða 2% af heimsveltu fyrir nauðsynlega aðila og 7 milljónum evra eða 1.4% fyrir mikilvæga aðila.

Algengar spurningar