NIS2 un Kiberdrošības likums: ko tas no jums prasa?

Nīderlandes NIS2 direktīvas ieviešanas likums — Kiberdrošības likums ( Cyberbeveiligingswet , Cbw) — ir spēkā kopš 2026. gada 15. augusta. Tas aizstāj iepriekšējo Tīklu un informācijas sistēmu drošības likumu ( Wet beveiliging netwerk-en informatiesystemen , Wbni) un attiecas uz organizācijām, kas noteiktas kā būtiskas vai svarīgas struktūras astoņpadsmit nozarēs, tostarp enerģētikas, dzeramā ūdens, digitālās infrastruktūras, veselības aprūpes, transporta, valsts pārvaldes, ražošanas, atkritumu apsaimniekošanas un pasta pakalpojumu jomā. Tas aptver vairāk nekā 8,000 organizāciju Nīderlandē.

To definē trīs pienākumi. Pirmais ir rūpības pienākums ( zorgplicht ): vienībai, uz kuru attiecas šī likuma darbības joma, ir jāveic atbilstoši un samērīgi tehniski, operatīvi un organizatoriski pasākumi, lai pārvaldītu riskus savām tīklu un informācijas sistēmām un ierobežotu incidentu sekas. Otrais ir ziņošanas pienākums ( meldplicht ): par būtisku incidentu likumā noteiktajos termiņos ir jāpaziņo kompetentajai datoru drošības incidentu reaģēšanas komandai un nozares uzraugam, sākot ar agrīno brīdinājumu divdesmit četru stundu laikā, pilnīgāku paziņojumu septiņdesmit divu stundu laikā un galīgo ziņojumu mēneša laikā. Trešais ir reģistrēšanās ( registratieplicht ) Nacionālajā kiberdrošības centrā (NCSC).

NIS2 no agrākajiem kiberdrošības regulējumiem atšķiras ar atbildības noteikšanu. Vadības struktūrām ir jāapstiprina riska pārvaldības pasākumi un jāuzrauga to ieviešana, tās var saukt pie atbildības par kļūmēm, un tām ir jāapmeklē apmācība. Rūpības pienākums attiecas arī uz piegādes ķēdi, kas nozīmē, ka tas ir jāīsteno, noslēdzot līgumus ar piegādātājiem un pakalpojumu sniedzējiem.

Vai NIS2 attiecas uz jūsu organizāciju?

NIS2 ir piemērojams, ja jūsu organizācija darbojas vienā no astoņpadsmit uzskaitītajām nozarēm un atbilst lieluma slieksnim vai ja tā pieder kategorijai, kas ir aptverta neatkarīgi no lieluma. Kiberdrošības likums ir piemērojams kopš 2026. gada 15. augusta, un nav vispārēja pārejas perioda: saistības ir spēkā jau tagad.

Nīderlande ieviesa direktīvu vēlāk nekā Eiropas noteiktais termiņš. Daudzos vecākos pantos joprojām ir minēts “2025. gada termiņš”. Šis datums vairs nav būtisks. Svarīgi ir tas, ka Nīderlandes noteikumi ir spēkā un ka uzraugi var tos īstenot.

Kuras nozares un organizācijas ir iekļautas darbības jomā?

Likums aptver astoņpadsmit nozares, kas uzskaitītas divos pielikumos. Pirmajā pielikumā ir iekļautas augstas kritiskās nozīmes nozares, piemēram, enerģētika, transports, banku darbība, finanšu tirgus infrastruktūra, veselības aprūpe, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, valsts pārvalde un kosmoss. Otrajā pielikumā ir iekļautas citas kritiski svarīgas nozares, piemēram, pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtika, ražošana, digitālie pakalpojumu sniedzēji un pētniecība.

Šajās nozarēs to, vai jūsu organizācija ir iekļota, nosaka tās lielumu. Saskaņā ar NCSC jūsu organizācija ietilpst darbības jomā, ja tā atbilst vismaz vienam no šiem kritērijiem:

• Personāls: tajā strādā 50 vai vairāk cilvēku (pilnas slodzes ekvivalentos)
• Apgrozījums un bilancetajā strādā mazāk nekā 50 cilvēku, bet gan gada apgrozījums, gan bilances kopsumma pārsniedz 10 miljonus eiro
• grupaPartneruzņēmumi un saistītie uzņēmumi tiek ieskaitīti šajos skaitļos, tāpēc lielas grupas neliels meitasuzņēmums joprojām var tikt iekļauts.

Dažas organizācijas ir iekļautas neatkarīgi no to lieluma. To skaitā ir DNS pakalpojumu sniedzēji, publisko elektronisko sakaru tīklu vai pakalpojumu sniedzēji, uzticamības pakalpojumu sniedzēji, augstākā līmeņa domēna vārdu reģistri un valdības organizācijas.

Likuma darbības jomā ir nošķirtas būtiskas un svarīgas vienības. Parasti lielākas organizācijas augstas kritiskuma nozarēs ir būtiskas vienības; citas ir svarīgas vienības. Šī atšķirība ir svarīga uzraudzības un maksimālā naudas soda noteikšanas ziņā. Nīderlandes Digitālās infrastruktūras pārvalde (RDI) piedāvā pašnovērtējuma rīku (NIS2-Zelfevaluatie) vietnē regelhulpenvoorbedrijven.nl, lai palīdzētu jums noteikt savu nostāju. Ja rezultāts nav skaidrs, piemēram, grupas struktūras vai jauktu darbību dēļ, lūdziet to novērtēt un reģistrējiet pamatojumu.

Ko prasa rūpības pienākums?

Rūpības pienākums paredz atbilstošus un samērīgus pasākumus, lai pārvaldītu riskus jūsu tīklam un informācijas sistēmām. “Samērīgi” nozīmē, ka pasākumiem ir jāatbilst jūsu lielumam, jūsu pakļautībai riskam un incidenta iespējamajai ietekmei uz sabiedrību un ekonomiku.

Direktīva nosaka minimālo bāzes līmeni TID2 direktīvas 21. panta 2. punktā. Īsāk sakot, jūsu pasākumiem jāaptver:

• Riska analīze: politikas attiecībā uz risku analīzi un jūsu informācijas sistēmu drošību
• Incidentu apstrādeprocedūras incidentu atklāšanai, risināšanai un atkopšanai no tiem
• Nepārtrauktība: uzņēmējdarbības nepārtrauktība, dublēšana, atjaunošana un krīzes pārvaldība
• Piegādes ķēdedrošība jūsu attiecībās ar piegādātājiem un pakalpojumu sniedzējiem
• Izstrāde un uzturēšanadrošība, iegādājoties, izstrādājot un uzturot sistēmas, tostarp ievainojamību apstrāde
• Testēšanaprocedūras, lai novērtētu jūsu pasākumu efektivitāti
• Higiēna un apmācība: pamata kiberhigiēnas un kiberdrošības apmācība darbiniekiem
• Kriptogrāfija un piekļuvešifrēšanas izmantošana, cilvēkresursu drošība, piekļuves kontrole un aktīvu pārvaldība, tostarp droša autentifikācija

Likums nenosaka vienu konkrētu standartu. Daudzas organizācijas savu pasākumu strukturēšanai izmanto esošo informācijas drošības sistēmu. Uzraugam ir svarīgi, vai jūs varat pierādīt, ka jūsu pasākumi ir balstīti uz riska novērtējumu un patiešām darbojas.

Kā darbojas ziņošanas pienākums un tā izpilde?

Par būtisku incidentu jāziņo trīs posmos: agrīnais brīdinājums 24 stundu laikā, incidenta paziņojums 72 stundu laikā un galīgais ziņojums viena mēneša laikā. Jūs ziņojat kompetentajai datoru drošības incidentu reaģēšanas komandai (CSIRT) un savas nozares vadītājam.

24 stundu brīdinājums ir īss un tam nav jābūt pilnīgam. Tas galvenokārt signalizē, ka kaut kas notiek, un vai varētu būt ļaunprātīgs nodoms vai pārrobežu ietekme. 72 stundu paziņojums sniedz sākotnējo novērtējumu par notikuma nopietnību un ietekmi. Noslēguma ziņojumā ir aprakstīts cēlonis, veiktie pasākumi un visas pārrobežu sekas.

Uzraudzība ir sadalīta pa nozarēm. Atkarībā no jūsu darbības veida jūsu uzraugs var būt, piemēram, Cilvēka vides un transporta inspekcija (ILT), Nīderlandes banka (DNB), Nīderlandes Finanšu tirgu iestāde (AFM), Veselības un jaunatnes aprūpes inspekcija (IGJ), Nīderlandes Pārtikas un patēriņa preču drošības iestāde (NVWA) vai RDI. Uzraugiem ir izpildes pilnvaras, tostarp administratīvo sodu uzlikšana.

NIS2 arī pārklājas ar Vispārīgo datu aizsardzības regulu (VDAR). Ja incidents ir saistīts ar personas datiem, var būt nepieciešams atsevišķs paziņojums Nīderlandes Datu aizsardzības iestādei ( Autoriteit Persoonsgegevens ). Saskaņojiet savu NIS2 procedūru ar datu pārkāpuma procedūru, lai viens incidents neradītu divus atsevišķus, nesaskaņotus procesus.

Kādas izmaiņas gaidāmas vadībai, darbiniekiem un uzņēmumam?

Vissvarīgākā izmaiņa ir tā, ka kiberdrošība vairs nav tikai IT nodaļas jautājums. NIS2 atbildību uzliek vadības institūcijai un sagaida, ka ieguldīsies visa organizācija, tostarp darbinieki un piegādātāji.

Ko NIS2 nozīmē darbiniekiem?

NIS2 nerada jaunas individuālas tiesības vai pienākumus darbiniekiem tieši; pienākumi gulstas uz organizāciju. Tomēr praksē darba devējam ir jāpārvērš rūpības pienākums noteikumos un darbinieku apmācībā.

Kiberhigiēnas un kiberdrošības pamatapmācība ir daļa no minimālajiem pasākumiem. Tas nozīmē, ka jūsu darbiniekiem, piemēram, vajadzētu:

• Awareness: piedalieties apmācībās par pikšķerēšanu, parolēm un drošu darbu
• Iekšējā ziņošanazināt, kā un kam ziņot par iespējamu incidentu vai ievainojamību, lai jūs varētu ievērot 24 stundu termiņu
• pieejaizmantot drošu autentifikāciju un piekļūt tikai tām sistēmām, kas nepieciešamas darbam

Iekļaujiet šos noteikumus politikā vai darbinieku rokasgrāmatā. Ja ieviešat jaunu darbinieku sistēmu vai uzvedības uzraudzību, pārbaudiet noteikumus par privātumu un, attiecīgā gadījumā, darba padomes ( ondernemingsraad ) lomu.

Kas jādara vadības institūcijai?

Vadības institūcijai ir jāapstiprina kiberdrošības risku pārvaldības pasākumi un jāuzrauga to ieviešana. Tās locekļiem ir jāapmeklē apmācības, lai viņiem būtu pietiekamas zināšanas risku un pasākumu novērtēšanai. Ja organizācija neievēro noteikumus, vadības institūcija var tikt saukta pie atbildības.

Praksē tas nozīmē, ka valde vairs nevar vienkārši deleģēt kiberdrošību. Direktoriem vajadzētu:

• Izlemtoficiāli apstiprināt riska novērtējumu un pasākumus un reģistrēt šo lēmumu
• uzraudzītsaņemt regulārus ziņojumus par pasākumu statusu un incidentiem
• Mācīties: sekojiet apmācībām un atjauniniet savas zināšanas
• Piešķirtpārliecinieties, ka ir pietiekams budžets, cilvēki un skaidras lomas

Tas, vai direktoru var saukt pie personiskas atbildības par nodarīto kaitējumu, ir atkarīgs no Nīderlandes uzņēmumu tiesību vispārējiem noteikumiem un lietas faktiem. Skaidra lēmumu pieņemšana un dokumentācija palīdz parādīt, ka valde nopietni uztvēra savu lomu.

Kādi ir sodi un citas sekas?

Uzraugi var piemērot naudas sodus līdz 10 miljoniem eiro vai 2% no pasaules gada apgrozījuma būtiskām struktūrām un līdz 7 miljoniem eiro vai 1.4% svarīgām struktūrām, atkarībā no tā, kura summa ir lielāka. Šīs ir maksimālās summas; faktiskais naudas sods ir atkarīgs no pārkāpuma nopietnības un apstākļiem.

Naudas sodi nav vienīgais risks. Vadītājs var izmantot arī citus piespiedu līdzekļus, lai panāktu atbilstību. Nopietns incidents var izraisīt arī prasības no klientiem vai biznesa partneriem, līgumsaistības ar piegādātājiem un reputācijas bojājumus. Tāpēc laba sagatavošanās jūs pasargā vairākos veidos.

Kā jūs sadarbojaties ar piegādātājiem un līgumiem?

Rūpības pienākums attiecas arī uz jūsu piegādes ķēdi, tāpēc jums ir jāpārvalda arī savu piegādātāju un pakalpojumu sniedzēju kiberdrošības riski. Praksē tas galvenokārt tiek darīts, slēdzot līgumus.

Piegādātāju līgumos jāiekļauj šādi punkti:

• Drošības prasības: pasākumi, kas piegādātājam jāveic saskaņā ar jūsu pašu riska novērtējumu
• Paziņojums par incidentuīss termiņš, kurā piegādātājam jāinformē jūs par incidentiem, lai jūs varētu ievērot savus ziņošanas termiņus
• Revīzija un informācijajūsu tiesības pieprasīt informāciju un panākt atbilstības pārbaudi
• Apakšuzņēmuma līgumu slēgšananoteikumi par apakšuzņēmēju izmantošanu un pienākumu nodošanu
• Atbildība un līguma izbeigšana: kas notiek, ja piegādātājs neievēro noteikumus, un kā jūs varat pārtraukt attiecības

Vispirms pārskatiet esošos līgumus ar jūsu svarīgākajiem IT un pakalpojumu sniedzējiem. Jaunajos līgumos jau no paša sākuma var iekļaut standarta NIS2 klauzulas.

Kas jums kā organizācijai būtu jāpārbauda darbības jomā?

Likums ir piemērojams kopš 2026. gada 15. augusta bez vispārēja pārejas perioda. Šīs pārbaudes aptver pienākumus, kurus uzraugs izskatīs vispirms.

• Ar pētniecības, attīstības un inovācijas (RDI) pašnovērtējuma palīdzību nosakiet, vai esat būtiska vai svarīga vienība, iekļaujiet grupas uzņēmumus un pierakstiet pamatojumu.
• Reģistrējieties NCSC un regulāri atjauniniet reģistrāciju.
• Lūdziet vadības institūcijai oficiāli apstiprināt riska novērtējumu un pasākumus un dokumentēt šo lēmumu.
• Plānot vadības institūcijas apmācību un pamata kiberhigiēnas apmācību darbiniekiem.
• Nosauciet personu, kas izlemj, vai incidents ir būtisks, un kas ziņo 24 stundu, 72 stundu un viena mēneša laikā.
• Saskaņot NIS2 procedūru ar 72 stundu datu pārkāpuma paziņošanu Nīderlandes Datu aizsardzības iestādei saskaņā ar VDAR.

Kas jums kā piegādātājam jāpārbauda?

Klienti, uz kuriem attiecas šis līgums, nodod jums savu rūpības pienākumu, izmantojot līgumus. Pirms piekrītat, pārbaudiet, ko jums lūdz parakstīt.

• Pārbaudiet, vai uz jūsu organizāciju attiecas likums, piemēram, kā digitālo vai IT pakalpojumu sniedzēju.
• Pārliecinieties, vai incidentu paziņošanas termiņš, kuru jums lūdz pieņemt, ir sasniedzams, ņemot vērā jūsu klienta noteikto 24 stundu termiņu.
• Vienojieties par klienta audita apjomu un izmaksām, kā arī informācijas tiesībām.
• Pārbaudiet atbildības un līguma izbeigšanas klauzulas, kas pievienotas drošības prasībām.
• Pārbaudiet, kuri pienākumi jums jānodod saviem apakšuzņēmējiem.

Ko mēs varam jūsu labā darīt ar NIS2 un Kiberdrošības likumu?

Mūsu IT juristu komanda palīdz organizācijām un to piegādātājiem, sākot no darbības jomas novērtēšanas līdz uzraudzībai.

• Mēs nosakām, vai jūsu organizācija ir būtiska vai svarīga vienība, tostarp grupu struktūrās.
• Mēs izstrādājam valdes lēmumu, drošības politikas un incidentu un ziņošanas procedūru.
• Mēs izstrādājam un pārskatām NIS2 klauzulas piegādātāju un klientu līgumos.
• Mēs konsultējam direktorus par viņu pienākumiem un atbildību saskaņā ar Nīderlandes uzņēmumu tiesībām.
• Mēs palīdzam RDI vai jūsu nozares vadītāja veiktajā izmeklēšanā un sagatavojam iebildumus (bezwaar) pret lēmumu par naudas sodu.

Kopsavilkums

• Kiberdrošības likums, kas ir NIS2 ieviešanas likums Nīderlandē, kopš 2026. gada 15. augusta attiecas uz vairāk nekā 8,000 organizācijām astoņpadsmit nozarēs.
• Jūsu organizācija parasti ir apdrošināta, ja tajā strādā vismaz 50 darbinieku vai apgrozījums un bilances kopsumma pārsniedz 10 miljonus eiro; daži pakalpojumu sniedzēji ir apdrošināti neatkarīgi no to lieluma.
• Galvenie pienākumi ir rūpības pienākums, būtisku incidentu ziņošana (24 stundas, 72 stundas, viens mēnesis) un reģistrēšanās NCSC.
• Vadības institūcija apstiprina un uzrauga pasākumus, apmeklē apmācības un ir atbildīga par to izpildi; piegādes ķēdes drošība lielā mērā tiek īstenota, slēdzot līgumus.
• Naudas sodi var sasniegt 10 miljonus eiro jeb 2% no pasaules apgrozījuma būtiskām struktūrām un 7 miljonus eiro jeb 1.4% svarīgām struktūrām.

Biežāk uzdotie jautājumi