NIS2: кой попада в обхвата и какво трябва да направите

Едно от най-честите питания, които получаваме, е дали дадена организация изобщо попада в обхвата на NIS2. Отговорът рядко е очевиден от пръв поглед — директивата разширява значително кръга спрямо предходния режим и добавя сектори, които преди не са били засегнати.

Кой е задължен

NIS2 обхваща два вида субекти — съществени и важни — в сектори като енергетика, транспорт, здравеопазване, банково дело, дигитална инфраструктура, публична администрация, производство и управление на отпадъчни води. Прагът обичайно е свързан с размера на организацията, но някои дейности попадат в обхвата независимо от размера, ако услугата е достатъчно критична.

Какво се променя спрямо предходния режим

Три неща се променят съществено: обхватът е по-широк, изискванията за управление на риска са по-конкретни, а отговорността на ръководството е изрично лична — управителните органи носят отговорност за надзора върху мерките за киберсигурност, не само ИТ отделът.

Основните задължения накратко

• Мерки за управление на риска, съобразени с международни стандарти
• Докладване на значими инциденти в кратки, строго определени срокове
• Управление на риска по веригата на доставка
• Обучение и осведоменост на ръководния състав

Откъде да започнете

Първата стъпка не е внедряване на технически мерки, а точна класификация — дали сте субект по NIS2, какъв е статутът ви и кой национален орган ви надзирава. Едва след това има смисъл да се говори за конкретни мерки и срокове.