NIS2 un Kiberdrošības likums: vai Jūsu uzņēmums ir pakļauts šim regulējumam?
Kopš 2026. gada 15. augusta Nīderlandē ir spēkā Kiberdrošības likums (Cyberbeveiligingswet). Iespējams, Jūs jau esat dzirdējuši terminu NIS2 no klienta, piegādātāja vai konsultanta. Šajā rakstā īsumā uzzināsiet, kas ir šis likums, uz ko tas attiecas un ko tas nozīmē mazam uzņēmumam, uz kuru tas pats neattiecas.
Šis raksts sniedz vispārīgu skaidrojumu un nav juridisks padoms. Aktuālie noteikumi ir pieejami NCSC mājaslapā un likuma tekstā.
Kas tas ir?
NIS2 ir 2022. gada Eiropas direktīva (Direktīva (ES) 2022/2555), kuras mērķis ir padarīt nozīmīgu nozaru organizācijas digitāli noturīgākas. Katra valsts šo direktīvu ievieš savā tiesību aktā. Nīderlandē tas ir Kiberdrošības likums (Cbw). Likums ir spēkā kopš 2026. gada 15. augusta bez pārejas perioda, un tas aizstāj iepriekšējo Tīklu un informācijas sistēmu drošības likumu (Wbni). Saskaņā ar NCSC datiem uz to attiecas vairāk nekā 8000 organizāciju. NCSC ir kontaktpunkts šajā jautājumā.
Vai mans uzņēmums uz to attiecas?
Tas ir atkarīgs no diviem jautājumiem: Jūsu nozares un Jūsu uzņēmuma lieluma.
1. Vai Jūs strādājat nozarē, kas minēta likumā?
| 1. pielikums | 2. pielikums |
|---|---|
| Enerģētika, transports, banku nozare, finanšu tirgus infrastruktūra, veselības aprūpe, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība, valsts pārvalde, kosmosa nozare | Pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmiskās vielas, pārtikas produkti, ražošana (apstrādes rūpniecība), digitālo pakalpojumu sniedzēji, pētniecība |
Dažām nozarēm ir papildu nosacījumi. Tātad ne katrs uzņēmums, kas kaut kādā veidā saistīts ar pārtikas produktiem, automātiski uz to attiecas.
2. Vai Jūsu uzņēmums ir pietiekami liels? Vienkārši sakot, uz to attiecas vidēji lieli un lieli uzņēmumi. Jūs tiekat ieskaitīti, ja:
- Jums ir 50 vai vairāk darbinieku (pilnas slodzes ekvivalenti), vai
- Jums ir mazāk nekā 50 darbinieku, bet Jūsu gada apgrozījums un bilances kopsumma abi pārsniedz 10 miljonus eiro.
Partneruzņēmumi un saistītie uzņēmumi arī tiek ieskaitīti. Tātad uzņēmums ar 20 darbiniekiem, kas pieder pie 200 cilvēku grupas, tomēr var tikt pakļauts likumam.
Izņēmumi neatkarīgi no lieluma. Dažu veidu organizācijas uz to attiecas vienmēr, lai cik mazas tās būtu. Piemēram, DNS pakalpojumu sniedzēji, augstākā līmeņa domēnu reģistri, publisko elektronisko sakaru tīklu un pakalpojumu sniedzēji, uzticamības pakalpojumu sniedzēji un valsts pārvaldes organizācijas. Ja Jūs esat noteikti saskaņā ar Kritisko vienību noturības likumu (Wet weerbaarheid kritieke entiteiten), tad uz Jums attiecas arī Kiberdrošības likums.
Pārbaudiet to pats ar pašnovērtējumu
Nīderlandes Digitālās infrastruktūras inspekcijai (Rijksinspectie Digitale Infrastructuur, RDI) ir bezmaksas NIS2 pašnovērtējums. Jūs atbildat uz jautājumiem par Jūsu nozari, lielumu un pakalpojumiem un saņemat rezultātu. No tā arī izriet, vai Jūs esat būtiska vai nozīmīga vienība. Atšķirība galvenokārt ir uzraudzībā: būtiskām vienībām uzraudzības iestāde var veikt pārbaudes arī pēc savas iniciatīvas, savukārt nozīmīgām vienībām galvenokārt pēcpārbaudes veidā. Vai Jūsu uzņēmums pieder pie grupas vai Jūs darbojaties vairākās valstīs? Tad palīdzēt var NCSC vadlīnijas sarežģītiem uzņēmējdarbības modeļiem.
Kas jādara, ja Jūs esat pakļauti likumam?
- Reģistrācija. Jūs reģistrējat savu organizāciju caur MijnNCSC.
- Rūpības pienākums. Jūs veicat riska analīzi un veicat atbilstošus un samērīgus pasākumus. NCSC min vismaz desmit tēmas, tostarp incidentu apstrādi, dublējumkopijas un atgūšanu, piegādes ķēdes drošību, apmācību, atjauninājumus, piekļuves pārvaldību, daudzfaktoru autentifikāciju vai piekļuves atslēgas (passkeys), šifrēšanu un pasākumu efektivitātes testēšanu. Valde apstiprina pasākumus un veic uzraudzību.
- Ziņošanas pienākums. Par nozīmīgu incidentu Jūs ziņojat caur MijnNCSC: pirmo brīdinājumu 24 stundu laikā, ziņojumu ar sākotnējo nopietnības un ietekmes novērtējumu 72 stundu laikā, un gala ziņojumu mēneša laikā.
Šis ziņojums ir atsevišķs no GDPR (Vispārīgās datu aizsardzības regulas) noteiktā datu noplūžu ziņošanas pienākuma. Tas attiecas uz ikvienu, kas apstrādā personas datus, arī uz pašnodarbinātu personu, un par to ziņo Nīderlandes Datu aizsardzības iestādei (Autoriteit Persoonsgegevens). Uzbrukums, kura rezultātā nozagti arī klientu dati, tātad var būt jāziņo abām iestādēm.
Vai uz Jums tas neattiecas? Ķēde tomēr var Jūs skart
Lielākā daļa mazo uzņēmumu neatbilst likuma prasībām. Tādā gadījumā Jums nav reģistrācijas pienākuma, ziņošanas pienākuma NCSC un uzraudzības. Taču organizācijām, uz kurām likums attiecas, ir jāņem vērā arī riski, kas saistīti ar to tiešajiem piegādātājiem un pakalpojumu sniedzējiem. Saskaņā ar NCSC informāciju likums pats par sevi neuzliek pienākumus piegādātājiem, bet klienti var izvirzīt prasības attiecībā uz to digitālo drošību. Šīs prasības tad tiek iekļautas līgumā vai anketā.
Vai Jūs piegādājat pakalpojumus lielākai organizācijai, piemēram, kā tīmekļa vietņu izstrādātājs, IT pārvaldnieks vai grāmatvedības birojs? Tad Jums var tikt uzdoti jautājumi, piemēram: vai izmantojat divpakāpju verifikāciju, kam ir piekļuve mūsu datiem, kur atrodas dublējumkopijas un cik ātri Jūs ziņojat par incidentu?
- Prasībām jābūt samērīgām ar Jūsu pakalpojuma risku. Piegādātājam ar piekļuvi sistēmām tiks izvirzītas stingrākas prasības nekā, piemēram, maiznieka, kas atved pusdienas.
- Runa ir par tiešajiem piegādātājiem. Jūsu piegādātāju piegādātāji neietilpst šajā kategorijā.
- Likums neparedz sertifikātu kā obligātu prasību. Tas var palīdzēt sarunā, taču tas nav garantija.
- Sāciet savlaicīgi: apzināt, kādi pasākumi Jums jau ir ieviesti, un fiksēt vienošanās ar klientu.