Το NIS2 και ο Νόμος Κυβερνοασφάλειας: εμπίπτει η επιχείρησή σας σε αυτόν;
Από τις 15 Αυγούστου 2026 ισχύει στις Κάτω Χώρες ο Cyberbeveiligingswet (Νόμος Κυβερνοασφάλειας). Ίσως έχετε ακούσει ήδη τον όρο NIS2 από κάποιον πελάτη, προμηθευτή ή σύμβουλο. Σε αυτό το άρθρο θα διαβάσετε εν συντομία τι είναι ο νόμος, ποιος εμπίπτει σε αυτόν και τι σημαίνει για μια μικρή επιχείρηση που δεν εμπίπτει η ίδια σε αυτόν.
Αυτό το άρθρο παρέχει γενικές πληροφορίες και δεν αποτελεί νομική συμβουλή. Οι ισχύοντες κανόνες βρίσκονται στο NCSC και στο κείμενο του νόμου.
Τι είναι;
Η NIS2 είναι μια ευρωπαϊκή οδηγία του 2022 (Οδηγία (ΕΕ) 2022/2555) που έχει στόχο να καταστήσει τους οργανισμούς σε σημαντικούς τομείς πιο ανθεκτικούς ψηφιακά. Κάθε χώρα μεταφέρει την οδηγία στο δικό της εθνικό δίκαιο. Στις Κάτω Χώρες πρόκειται για τον Cyberbeveiligingswet (Cbw, Νόμο Κυβερνοασφάλειας). Ο νόμος ισχύει από τις 15 Αυγούστου 2026, χωρίς μεταβατική περίοδο, και αντικαθιστά τον παλαιό Wet beveiliging netwerk- en informatiesystemen (Wbni). Σύμφωνα με το NCSC, περισσότεροι από 8.000 οργανισμοί εμπίπτουν σε αυτόν. Το NCSC αποτελεί το σημείο επαφής.
Εμπίπτει η επιχείρησή μου σε αυτόν;
Αυτό εξαρτάται από δύο ερωτήματα: τον τομέα σας και το μέγεθός σας.
1. Δραστηριοποιείστε σε έναν τομέα που αναφέρεται στον νόμο;
| Παράρτημα 1 | Παράρτημα 2 |
|---|---|
| Ενέργεια, μεταφορές, τραπεζικός τομέας, υποδομή χρηματοπιστωτικής αγοράς, υγεία, πόσιμο νερό, λύματα, ψηφιακή υποδομή, διαχείριση υπηρεσιών ΤΠΕ, δημόσια διοίκηση, διάστημα | Ταχυδρομικές και ταχυμεταφορικές υπηρεσίες, διαχείριση αποβλήτων, χημικές ουσίες, τρόφιμα, μεταποίηση (βιομηχανία), πάροχοι ψηφιακών υπηρεσιών, έρευνα |
Για ορισμένους τομείς ισχύουν επιπλέον προϋποθέσεις. Δεν εμπίπτει λοιπόν αυτόματα κάθε επιχείρηση που δραστηριοποιείται με κάποιον τρόπο στον τομέα των τροφίμων.
2. Είστε αρκετά μεγάλοι; Με λίγα λόγια, εμπίπτουν οι μεσαίοι και οι μεγάλοι οργανισμοί. Προσμετράστε αν:
- έχετε 50 ή περισσότερους υπαλλήλους (σε ισοδύναμο πλήρους απασχόλησης), ή
- έχετε λιγότερους από 50 υπαλλήλους, αλλά ο ετήσιος κύκλος εργασιών σας και το σύνολο του ισολογισμού σας υπερβαίνουν και τα δύο τα 10 εκατομμύρια ευρώ.
Οι συνεργαζόμενες επιχειρήσεις και οι συνδεδεμένες επιχειρήσεις προσμετρώνται επίσης. Μια επιχείρηση με 20 υπαλλήλους που ανήκει σε έναν όμιλο 200 ατόμων μπορεί συνεπώς να εμπίπτει παρ' όλα αυτά στον νόμο.
Εξαιρέσεις, ανεξαρτήτως μεγέθους. Ορισμένοι τύποι οργανισμών εμπίπτουν πάντα στον νόμο, όσο μικροί κι αν είναι. Για παράδειγμα πάροχοι υπηρεσιών DNS, μητρώα τομέων ανώτατου επιπέδου, πάροχοι δημόσιων δικτύων και υπηρεσιών ηλεκτρονικών επικοινωνιών, πάροχοι υπηρεσιών εμπιστοσύνης και κρατικοί οργανισμοί. Αν έχετε οριστεί βάσει του Wet weerbaarheid kritieke entiteiten (Νόμου Ανθεκτικότητας Κρίσιμων Οντοτήτων), τότε εμπίπτετε και στον Cyberbeveiligingswet.
Ελέγξτε μόνοι σας με την αυτοαξιολόγηση
Η Rijksinspectie Digitale Infrastructuur (RDI, Κρατική Επιθεώρηση Ψηφιακής Υποδομής) διαθέτει μια δωρεάν αυτοαξιολόγηση NIS2. Απαντάτε σε ερωτήσεις σχετικά με τον τομέα, το μέγεθος και τις υπηρεσίες σας και λαμβάνετε ένα αποτέλεσμα. Από αυτό προκύπτει επίσης αν είστε ουσιώδης ή σημαντική οντότητα. Η διαφορά έγκειται κυρίως στην εποπτεία: στις ουσιώδεις οντότητες η εποπτική αρχή μπορεί να ελέγχει και με δική της πρωτοβουλία, ενώ στις σημαντικές οντότητες κυρίως εκ των υστέρων. Ανήκει η επιχείρησή σας σε έναν όμιλο ή δραστηριοποιείστε σε περισσότερες χώρες; Τότε βοηθά ο οδηγός για σύνθετα επιχειρηματικά μοντέλα του NCSC.
Τι πρέπει να κάνετε αν εμπίπτετε σε αυτόν;
- Εγγραφή. Δηλώνετε τον οργανισμό σας μέσω του MijnNCSC.
- Υποχρέωση επιμέλειας. Καταρτίζετε μια ανάλυση κινδύνου και λαμβάνετε κατάλληλα και αναλογικά μέτρα. Το NCSC αναφέρει τουλάχιστον δέκα θέματα, μεταξύ των οποίων η διαχείριση περιστατικών, τα αντίγραφα ασφαλείας και η αποκατάσταση, η ασφάλεια της αλυσίδας εφοδιασμού σας, η εκπαίδευση, οι ενημερώσεις, η διαχείριση πρόσβασης, ο έλεγχος ταυτότητας πολλαπλών παραγόντων ή τα passkeys, η κρυπτογράφηση και ο έλεγχος αν τα μέτρα σας λειτουργούν. Η διοίκηση εγκρίνει τα μέτρα και ασκεί εποπτεία.
- Υποχρέωση αναφοράς. Ένα σημαντικό περιστατικό το αναφέρετε μέσω του MijnNCSC: εντός 24 ωρών μια πρώτη προειδοποίηση, εντός 72 ωρών μια αναφορά με μια πρώτη εκτίμηση της σοβαρότητας και του αντίκτυπου, και εντός ενός μήνα μια τελική έκθεση.
Αυτή η αναφορά είναι ανεξάρτητη από την υποχρέωση αναφοράς παραβιάσεων δεδομένων βάσει του ΓΚΠΔ (Γενικού Κανονισμού Προστασίας Δεδομένων). Αυτή ισχύει για οποιονδήποτε επεξεργάζεται δεδομένα προσωπικού χαρακτήρα, ακόμη και για έναν αυτοαπασχολούμενο, και την αναφέρετε στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (Autoriteit Persoonsgegevens). Μια επίθεση κατά την οποία έχουν κλαπεί και δεδομένα πελατών ενδέχεται συνεπώς να πρέπει να αναφερθεί και στους δύο φορείς.
Δεν εμπίπτετε σε αυτόν; Η αλυσίδα εφοδιασμού μπορεί να σας επηρεάσει παρ' όλα αυτά
Οι περισσότερες μικρές επιχειρήσεις δεν εμπίπτουν στον νόμο. Σε αυτή την περίπτωση δεν έχετε υποχρέωση εγγραφής, υποχρέωση αναφοράς στο NCSC ούτε εποπτεία. Ωστόσο, οι οργανισμοί που εμπίπτουν στον νόμο πρέπει επίσης να λαμβάνουν υπόψη τους κινδύνους από τους απευθείας προμηθευτές και παρόχους υπηρεσιών τους. Σύμφωνα με το NCSC, ο νόμος δεν επιβάλλει υποχρεώσεις στους ίδιους τους προμηθευτές, αλλά οι πελάτες μπορούν να θέτουν απαιτήσεις σχετικά με την ψηφιακή τους ασφάλεια. Αυτές περιλαμβάνονται τότε σε μια σύμβαση ή ένα ερωτηματολόγιο.
Παρέχετε υπηρεσίες σε έναν μεγαλύτερο οργανισμό, για παράδειγμα ως κατασκευαστής ιστοσελίδων, διαχειριστής IT ή λογιστικό γραφείο; Τότε μπορεί να λάβετε ερωτήσεις όπως: χρησιμοποιείτε επαλήθευση δύο βημάτων, ποιος έχει πρόσβαση στα δεδομένα μας, πού βρίσκονται τα αντίγραφα ασφαλείας και πόσο γρήγορα αναφέρετε ένα περιστατικό;
- Οι απαιτήσεις πρέπει να είναι ανάλογες με τον κίνδυνο της υπηρεσίας σας. Ένας προμηθευτής με πρόσβαση στα συστήματα λαμβάνει αυστηρότερες απαιτήσεις από τον φούρναρη που φέρνει το μεσημεριανό.
- Πρόκειται για απευθείας προμηθευτές. Οι προμηθευτές των προμηθευτών σας δεν εμπίπτουν σε αυτό.
- Ο νόμος δεν επιβάλλει κανένα πιστοποιητικό. Μπορεί να βοηθήσει στη συζήτηση, αλλά δεν αποτελεί εγγύηση.
- Ξεκινήστε εγκαίρως: καταγράψτε ποια μέτρα διαθέτετε ήδη και καταγράψτε τις συμφωνίες με τον πελάτη σας.