Отнася ли се NIS2 за нашата фирма — и откъде да започнем?

На какъв въпрос отговаряме?

Управител получава въпросник за сигурност и пита дали фирмата вече „попада под NIS2“. Зад това стоят три въпроса: има ли преки законови задължения, какво изисква договорът и достатъчни ли са наличните мерки. Отговорът само на единия оставя другите нерешени.

Изводът трябва да е за конкретно юридическо лице. Името на групата, търговската марка и статутът на клиента не определят автоматично положението на доставчика.

Кои факти събираме първо?

Опишете услугата през действителната работа. „Занимаваме се с технологии“ е твърде общо. Хостването на приложения, продажбата на лицензи и управлението на инфраструктура могат да поставят различни въпроси. Съпоставете дейността с конкретния сектор и вид субект.

Съберете данни за персонала, финансовите показатели и собствеността, необходими за правилата за размер. Броят служители не е целият тест. NIS2 и българският закон предвиждат категории и обстоятелства, при които обичайното правило за размер не е решаващо.

Ако сме малки или само обслужваме регулиран клиент?

Малкият размер е факт за анализ, а не автоматично освобождаване. Обслужването на банка също не превръща доставчика в адресат на всички задължения по DORA. Клиентът може да изисква договорни ангажименти, доказателства и съдействие при инцидент. Запишете ги отделно от преките законови задължения.

Сравнението между DORA и NIS2 обяснява общата разлика. Тази проверка е за информацията, нужна за обоснован извод за конкретната фирма.

Как изглежда полезният извод?

Кратка бележка с дата, юридическо лице, дейности, използвана информация, относими разпоредби, извод и ограничения. За всеки липсващ факт определете кой ще го набави. „Вероятно сме в обхват“ без следваща стъпка трудно помага.

Прегледайте извода след придобиване, нова услуга, съществена промяна в размера или относима законодателна промяна. Първоначалният анализ не заменя цялостната оценка на мерките. Ако клиентският срок изтича по-рано, отговорете коректно на договорното искане, докато анализът продължава.

Малка българска фирма в международна група

Местният брой служители не е достатъчен за извода за размер. Съберете връзките на собственост и контрол, както и финансовите и кадровите данни по приложимите правила за предприятия. Партньорските и свързаните предприятия могат да повлияят на изчислението. Условията на NIS2 за сектор и вид субект също трябва да се проверят; самото членство в група не поставя всяко дъщерно дружество в обхват.

Да разгледаме измислена българска фирма с 18 служители и контролиращо чуждестранно дружество майка. „Тук сме под 50 души“ не е защитим извод. Първо установете действителната дейност на българското юридическо лице. После определете кои данни за предприятията се събират, има ли категория или изключение независимо от размера и кои национални разпоредби уреждат случая. Не извеждайте показателите на майката или крайния статут от сайта на групата.

Общите системи създават втори, оперативен въпрос. Дори когато правните изводи за дружествата са различни, общата платформа за идентичност или доставчик може да създаде споделени зависимости. Запишете кой притежава контролите и кое лице може да получи доказателства. Това не слива отделните законови отговорности в общ етикет на групата.

Използвайте работния лист за приложимост в група, за да съберете собственост, дейност, данни за предприятията, зависимости от общи услуги и нерешени въпроси. Резултатът трябва да посочва провереното юридическо лице, основанието, липсващите факти и повода за нов преглед. Клиентските изисквания остават отделен извод, както е обяснено при доставчик на банка или регулиран субект.

Разгледайте подробно: NIS2 в България: кой попада, докога и какво следва.