NIS2 un Kiberdrošības likums (Cyberbeveiligingswet): vai tie attiecas uz manu uzņēmumu?
Kopš 2026. gada 15. augusta Nīderlandē ir spēkā Kiberdrošības likums. Iespējams, terminu NIS2 Jūs jau esat dzirdējuši no klienta, piegādātāja vai konsultanta. Šajā rakstā īsumā uzzināsiet, kas ir šis likums, uz ko tas attiecas un ko tas nozīmē mazam uzņēmumam, uz kuru tas pats neattiecas.
Šis raksts sniedz vispārīgu skaidrojumu un nav juridiska konsultācija. Aktuālie noteikumi ir pieejami NCSC un likuma tekstā.
Kas tas ir?
NIS2 ir 2022. gada Eiropas direktīva (Direktīva (ES) 2022/2555), kuras mērķis ir padarīt nozīmīgu nozaru organizācijas digitāli noturīgākas. Katra valsts direktīvu ievieš ar savu likumu. Nīderlandē tas ir Kiberdrošības likums (Cbw). Likums ir spēkā kopš 2026. gada 15. augusta bez pārejas perioda, un tas aizstāj iepriekšējo Tīklu un informācijas sistēmu drošības likumu (Wbni). Pēc NCSC datiem, uz to attiecas vairāk nekā 8.000 organizāciju. NCSC ir kontaktpunkts.
Vai tas attiecas uz manu uzņēmumu?
Tas ir atkarīgs no diviem jautājumiem: Jūsu nozares un Jūsu lieluma.
1. Vai Jūs darbojaties likumā minētā nozarē?
| 1. pielikums | 2. pielikums |
|---|---|
| Enerģētika, transports, banku nozare, finanšu tirgus infrastruktūra, veselības aprūpe, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, valsts pārvalde, kosmoss | Pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtika, ražošana (apstrādes rūpniecība), digitālo pakalpojumu sniedzēji, pētniecība |
Dažām nozarēm ir noteikti papildu nosacījumi. Tāpēc ne katrs uzņēmums, kas kaut kādā veidā darbojas ar pārtiku, automātiski ietilpst likuma darbības jomā.
2. Vai Jūsu uzņēmums ir pietiekami liels? Īsumā: likums attiecas uz vidējām un lielām organizācijām. Jūs tiekat ieskaitīti, ja Jums:
- ir 50 vai vairāk darbinieku (pilnas slodzes ekvivalentā), vai
- ir mazāk nekā 50 darbinieku, bet Jūsu gada apgrozījums un bilances kopsumma abi pārsniedz 10 miljonus eiro.
Tiek ņemti vērā arī partneruzņēmumi un saistītie uzņēmumi. Tādējādi uzņēmums ar 20 darbiniekiem, kas pieder grupai ar 200 darbiniekiem, tomēr var ietilpt likuma darbības jomā.
Izņēmumi neatkarīgi no lieluma. Dažu veidu organizācijas vienmēr ietilpst likuma darbības jomā, lai cik mazas tās būtu. Piemēram, DNS pakalpojumu sniedzēji, augstākā līmeņa domēnu reģistri, publisko elektronisko sakaru tīklu un pakalpojumu nodrošinātāji, uzticamības pakalpojumu sniedzēji un valsts pārvaldes iestādes. Ja Jūs esat noteikti saskaņā ar Kritisko vienību noturības likumu, uz Jums attiecas arī Kiberdrošības likums.
Pārbaudiet paši ar pašnovērtējumu
Digitālās infrastruktūras valsts inspekcija (RDI) piedāvā bezmaksas NIS2 pašnovērtējumu. Jūs atbildat uz jautājumiem par savu nozari, lielumu un pakalpojumiem un saņemat rezultātu. No tā arī redzams, vai esat būtiska vai svarīga vienība. Atšķirība galvenokārt ir uzraudzībā: būtiskās vienības uzraudzības iestāde drīkst pārbaudīt arī pēc savas iniciatīvas, svarīgās vienības galvenokārt pēc notikuma. Vai Jūsu uzņēmums pieder grupai vai Jūs darbojaties vairākās valstīs? Tad noderēs NCSC vadlīnijas sarežģītiem uzņēmējdarbības modeļiem.
Kas Jums jādara, ja likums uz Jums attiecas?
- Reģistrācija. Jūs reģistrējat savu organizāciju MijnNCSC.
- Rūpības pienākums. Jūs veicat riska analīzi un ieviešat atbilstošus un samērīgus pasākumus. NCSC min vismaz desmit tēmas, tostarp incidentu apstrādi, rezerves kopijas un atjaunošanu, piegādes ķēdes drošību, apmācību, atjauninājumus, piekļuves pārvaldību, daudzfaktoru autentifikāciju vai passkeys, šifrēšanu un pārbaudi, vai pasākumi darbojas. Vadība apstiprina pasākumus un uzrauga to izpildi.
- Ziņošanas pienākums. Par būtisku incidentu Jūs ziņojat MijnNCSC: 24 stundu laikā sniedzat agrīnu brīdinājumu, 72 stundu laikā paziņojumu ar sākotnējo smaguma un ietekmes novērtējumu un viena mēneša laikā galīgo ziņojumu.
Šis paziņojums ir nošķirts no VDAR noteiktā pienākuma ziņot par datu noplūdēm. Tas attiecas uz ikvienu, kas apstrādā personas datus, arī uz pašnodarbinātām personām, un par to ziņo Nīderlandes Personas datu aizsardzības iestādei. Kad kaut kas ir datu noplūde un vai par to jāziņo, lasiet rakstā Vai tā ir datu noplūde un vai man par to jāziņo? Tāpēc par uzbrukumu, kurā nozagti arī klientu dati, var nākties ziņot abām iestādēm.
Likums uz Jums neattiecas? Piegādes ķēde tomēr var Jūs ietekmēt
Uz lielāko daļu mazo uzņēmumu likums neattiecas. Tādā gadījumā Jums nav reģistrācijas pienākuma, nav pienākuma ziņot NCSC un nav uzraudzības. Taču organizācijām, uz kurām likums attiecas, jāņem vērā arī riski, kas saistīti ar to tiešajiem piegādātājiem un pakalpojumu sniedzējiem. Pēc NCSC teiktā, likums pašiem piegādātājiem pienākumus neuzliek, taču klienti drīkst izvirzīt prasības to digitālajai drošībai. Šīs prasības tiek iekļautas līgumā vai anketā.
Vai Jūs sniedzat pakalpojumus lielākai organizācijai, piemēram, kā tīmekļa vietņu izstrādātājs, IT administrators vai grāmatvedības birojs? Tad Jums var uzdot tādus jautājumus kā: vai izmantojat divpakāpju verifikāciju, kam ir piekļuve mūsu datiem, kur glabājas rezerves kopijas un cik ātri ziņojat par incidentu?
- Prasībām jābūt atbilstošām Jūsu pakalpojuma riskam. Piegādātājam ar piekļuvi sistēmām izvirza stingrākas prasības nekā maizniekam, kas piegādā pusdienas.
- Runa ir par tiešajiem piegādātājiem. Jūsu piegādātāju piegādātāji tajā neietilpst.
- Sertifikātu likums neparedz. Tas var palīdzēt sarunā, taču tas nav garantija.
- Sāciet laikus: apzinieties, kādi pasākumi Jums jau ir ieviesti, un vienošanās ar klientu nostipriniet rakstiski.
Papildu informācija
- NCSC: Kiberdrošības likums (NIS2)
- NCSC: Vai uz manu organizāciju attiecas Kiberdrošības likums?
- NCSC: Rūpības pienākums
- NCSC: Ziņošanas pienākums
- NCSC: Kiberdrošības likums un piegādātāji
- RDI: NIS2 pašnovērtējums
- Kiberdrošības likuma teksts
Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu "Droši tiešsaistē uzņēmējiem", nodarbību 9.1 NIS2 un Kiberdrošības likums.