NIS2 και ο ολλανδικός νόμος για την κυβερνοασφάλεια (Cyberbeveiligingswet): εμπίπτει η επιχείρησή μου;
Από τις 15 augustus 2026 ισχύει στην Ολλανδία ο νόμος για την κυβερνοασφάλεια (Cbw). Ίσως έχετε ήδη ακούσει τον όρο NIS2 από κάποιον πελάτη, προμηθευτή ή σύμβουλο. Σε αυτό το άρθρο διαβάζετε σύντομα τι είναι ο νόμος, ποιους αφορά και τι σημαίνει για μια μικρή επιχείρηση που η ίδια δεν εμπίπτει σε αυτόν.
Το άρθρο αυτό παρέχει γενικές πληροφορίες και δεν αποτελεί νομική συμβουλή. Οι ισχύοντες κανόνες βρίσκονται στο NCSC και στο κείμενο του νόμου.
Τι είναι;
Η NIS2 είναι μια ευρωπαϊκή οδηγία του 2022 (Οδηγία (ΕΕ) 2022/2555) που στοχεύει να κάνει τους οργανισμούς σε σημαντικούς τομείς πιο ανθεκτικούς στον ψηφιακό χώρο. Κάθε χώρα ενσωματώνει την οδηγία σε δικό της νόμο. Στην Ολλανδία, αυτός είναι ο νόμος για την κυβερνοασφάλεια (Cbw). Ο νόμος ισχύει από τις 15 augustus 2026, χωρίς μεταβατική περίοδο, και αντικαθιστά τον παλαιό νόμο για την ασφάλεια συστημάτων δικτύου και πληροφοριών (Wbni). Σύμφωνα με το NCSC, σε αυτόν εμπίπτουν περισσότεροι από 8.000 οργανισμοί. Το NCSC είναι το σημείο επαφής.
Εμπίπτει η επιχείρησή μου;
Αυτό εξαρτάται από δύο ερωτήματα: τον τομέα σας και το μέγεθός σας.
1. Δραστηριοποιείστε σε έναν τομέα που αναφέρει ο νόμος;
| Παράρτημα 1 | Παράρτημα 2 |
|---|---|
| Ενέργεια, μεταφορές, τραπεζικός τομέας, υποδομές χρηματοπιστωτικών αγορών, υγειονομική περίθαλψη, πόσιμο νερό, λύματα, ψηφιακές υποδομές, διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, διάστημα | Ταχυδρομικές υπηρεσίες και υπηρεσίες ταχυμεταφορών, διαχείριση αποβλήτων, χημικές ουσίες, τρόφιμα, μεταποίηση (βιομηχανία), ψηφιακοί πάροχοι, έρευνα |
Για ορισμένους τομείς ισχύουν πρόσθετες προϋποθέσεις. Επομένως, δεν εμπίπτει αυτόματα κάθε επιχείρηση που έχει κάποια σχέση με τρόφιμα.
2. Είστε αρκετά μεγάλη επιχείρηση; Εν συντομία, εμπίπτουν οι μεσαίοι και οι μεγάλοι οργανισμοί. Συμπεριλαμβάνεστε εάν:
- απασχολείτε 50 ή περισσότερους εργαζομένους (ΙΠΑ), ή
- απασχολείτε λιγότερους από 50 εργαζομένους, αλλά ο ετήσιος κύκλος εργασιών σας και το σύνολο του ισολογισμού σας υπερβαίνουν και τα δύο τα 10 εκατομμύρια ευρώ.
Οι συνεργαζόμενες και οι συνδεδεμένες επιχειρήσεις συνυπολογίζονται. Μια επιχείρηση με 20 εργαζομένους που ανήκει σε όμιλο 200 ατόμων μπορεί, επομένως, να εμπίπτει τελικά στον νόμο.
Εξαιρέσεις, ανεξαρτήτως μεγέθους. Ορισμένα είδη οργανισμών εμπίπτουν πάντα, όσο μικρά κι αν είναι. Για παράδειγμα, οι πάροχοι υπηρεσιών DNS, τα μητρώα ονομάτων τομέα ανωτάτου επιπέδου, οι πάροχοι δημόσιων δικτύων ηλεκτρονικών επικοινωνιών και δημόσιων υπηρεσιών ηλεκτρονικών επικοινωνιών, οι πάροχοι υπηρεσιών εμπιστοσύνης και οι δημόσιοι φορείς. Εάν έχετε οριστεί βάσει του νόμου για την ανθεκτικότητα των κρίσιμων οντοτήτων, εμπίπτετε επίσης στον νόμο για την κυβερνοασφάλεια.
Ελέγξτε το μόνοι σας με την αυτοαξιολόγηση
Η Κρατική Επιθεώρηση Ψηφιακών Υποδομών (RDI) προσφέρει δωρεάν αυτοαξιολόγηση NIS2. Απαντάτε σε ερωτήσεις σχετικά με τον τομέα, το μέγεθος και τις υπηρεσίες σας και λαμβάνετε ένα αποτέλεσμα. Από αυτό προκύπτει επίσης εάν είστε βασική ή σημαντική οντότητα. Η διαφορά αφορά κυρίως την εποπτεία: στις βασικές οντότητες η εποπτική αρχή μπορεί να διενεργεί ελέγχους και με δική της πρωτοβουλία, ενώ στις σημαντικές οντότητες κυρίως εκ των υστέρων. Ανήκει η επιχείρησή σας σε όμιλο ή δραστηριοποιείστε σε περισσότερες χώρες; Τότε σας βοηθά ο οδηγός για σύνθετα επιχειρηματικά μοντέλα του NCSC.
Τι πρέπει να κάνετε εάν εμπίπτετε;
- Εγγραφή. Εγγράφετε τον οργανισμό σας μέσω του MijnNCSC.
- Υποχρέωση μέριμνας. Εκπονείτε ανάλυση κινδύνου και λαμβάνετε κατάλληλα και αναλογικά μέτρα. Το NCSC αναφέρει τουλάχιστον δέκα θέματα, μεταξύ των οποίων ο χειρισμός περιστατικών, τα backups και η αποκατάσταση, η ασφάλεια της εφοδιαστικής σας αλυσίδας, η εκπαίδευση, οι ενημερώσεις, η διαχείριση πρόσβασης, ο έλεγχος ταυτότητας πολλαπλών παραγόντων ή τα passkeys, η κρυπτογράφηση και ο έλεγχος της αποτελεσματικότητας των μέτρων σας. Η διοίκηση εγκρίνει τα μέτρα και εποπτεύει την εφαρμογή τους.
- Υποχρέωση αναφοράς. Ένα σημαντικό περιστατικό το αναφέρετε μέσω του MijnNCSC: εντός 24 ωρών μια έγκαιρη προειδοποίηση, εντός 72 ωρών μια κοινοποίηση με αρχική εκτίμηση της σοβαρότητας και των επιπτώσεων, και εντός ενός μήνα μια τελική έκθεση.
Η αναφορά αυτή είναι ανεξάρτητη από την υποχρέωση γνωστοποίησης παραβιάσεων δεδομένων βάσει του ΓΚΠΔ (GDPR). Εκείνη ισχύει για όλους όσοι επεξεργάζονται δεδομένα προσωπικού χαρακτήρα, ακόμη και για έναν ελεύθερο επαγγελματία, και η γνωστοποίηση γίνεται στην ολλανδική Αρχή Προστασίας Δεδομένων. Πότε κάτι αποτελεί παραβίαση δεδομένων και εάν πρέπει να το γνωστοποιήσετε, διαβάζετε στο άρθρο Πρόκειται για παραβίαση δεδομένων και πρέπει να τη γνωστοποιήσω; Μια επίθεση κατά την οποία κλάπηκαν και δεδομένα πελατών μπορεί, επομένως, να πρέπει να αναφερθεί και στις δύο αρχές.
Δεν εμπίπτετε; Η αλυσίδα μπορεί παρ' όλα αυτά να σας επηρεάσει
Οι περισσότερες μικρές επιχειρήσεις δεν εμπίπτουν στον νόμο. Σε αυτή την περίπτωση δεν έχετε υποχρέωση εγγραφής, ούτε υποχρέωση αναφοράς στο NCSC, ούτε εποπτεία. Ωστόσο, οι οργανισμοί που εμπίπτουν πρέπει να λαμβάνουν υπόψη και τους κινδύνους που σχετίζονται με τους άμεσους προμηθευτές και παρόχους υπηρεσιών τους. Σύμφωνα με το NCSC, ο νόμος δεν επιβάλλει ο ίδιος υποχρεώσεις στους προμηθευτές, αλλά οι πελάτες μπορούν να θέτουν απαιτήσεις για την ψηφιακή τους ασφάλεια. Αυτές περιλαμβάνονται τότε σε μια σύμβαση ή ένα ερωτηματολόγιο.
Προμηθεύετε κάποιον μεγαλύτερο οργανισμό, για παράδειγμα ως κατασκευαστής ιστοσελίδων, διαχειριστής IT ή λογιστικό γραφείο; Τότε ενδέχεται να λάβετε ερωτήσεις όπως: χρησιμοποιείτε επαλήθευση δύο βημάτων, ποιος έχει πρόσβαση στα δεδομένα μας, πού βρίσκονται τα backups και πόσο γρήγορα αναφέρετε ένα περιστατικό;
- Οι απαιτήσεις πρέπει να είναι ανάλογες με τον κίνδυνο της υπηρεσίας σας. Ένας προμηθευτής με πρόσβαση στα συστήματα αντιμετωπίζει αυστηρότερες απαιτήσεις από τον φούρνο που φέρνει το μεσημεριανό.
- Πρόκειται για άμεσους προμηθευτές. Οι προμηθευτές των δικών σας προμηθευτών δεν περιλαμβάνονται.
- Ο νόμος δεν απαιτεί πιστοποίηση. Μπορεί να βοηθήσει στη συζήτηση, αλλά δεν αποτελεί εγγύηση.
- Ξεκινήστε έγκαιρα: καταγράψτε ποια μέτρα έχετε ήδη λάβει και αποτυπώστε γραπτώς τις συμφωνίες με τον πελάτη σας.
Περαιτέρω ανάγνωση
- NCSC: Νόμος για την κυβερνοασφάλεια (NIS2)
- NCSC: Εμπίπτει ο οργανισμός μου στον νόμο για την κυβερνοασφάλεια;
- NCSC: Υποχρέωση μέριμνας
- NCSC: Υποχρέωση αναφοράς
- NCSC: Ο νόμος για την κυβερνοασφάλεια και οι προμηθευτές
- RDI: Αυτοαξιολόγηση NIS2
- Κείμενο του νόμου για την κυβερνοασφάλεια
Θέλετε να μάθετε περισσότερα; Παρακολουθήστε το δωρεάν μάθημα Ασφάλεια στο διαδίκτυο για επιχειρηματίες, ενότητα 9.1 Η NIS2 και ο νόμος για την κυβερνοασφάλεια.