Kas NIS2 kehtib minu ettevõttele? Viieminutiline kontroll

NIS2 direktiiv (EL) 2022/2555 laiendas ELi küberturvalisuse õigust mõnesajalt ettevõtjalt riigi kohta tuhandetele tavalistele ettevõtetele. See, kas direktiiv kehtib Teie ettevõttele, sõltub kolmest küsimusest.

1. Kas Teie põhitegevus kuulub loetletud sektorisse?

I lisas on loetletud väga kriitilised sektorid, II lisas muud kriitilised sektorid.

• I lisa: energeetika, transport, pangandus, finantsturu infrastruktuur, tervishoid, joogivesi, reovesi, digitaristu (pilveteenused, andmekeskused, sisuedastusvõrgud, DNS, internetiühenduspunktid, telekommunikatsioon, usaldusteenused), ettevõtetele osutatavad IKT-teenuste ja turvateenuste haldus, avalik haldus ning kosmos.
• II lisa: posti- ja kullerteenused, jäätmekäitlus, kemikaalid, toidu tootmine ja levitamine, meditsiiniseadmete, elektroonika, elektriseadmete, masinate ja sõidukite tootmine, internetipõhised kauplemiskohad, otsingumootorid ja sotsiaalvõrgustikud ning teadusorganisatsioonid.

2. Kas olete vähemalt keskmise suurusega ettevõtja?

Direktiiv hõlmab nende sektorite üksusi, kes on ELi määratluse kohaselt keskmise suurusega või suuremad: 50 või rohkem töötajat või nii aastakäive kui ka bilansimaht üle 10 miljoni euro (art 2 lg 1). Väike- ja mikroettevõtjad jäävad üldjuhul kohaldamisalast välja.

3. Kas kuulute mõne erandi alla, mis kehtib olenemata suurusest?

• Üldkasutatavate elektroonilise side võrkude või üldkasutatavate elektroonilise side teenuste pakkujad.
• Usaldusteenuse osutajad, tippdomeeni nimeregistrid, DNS-teenuse osutajad ja domeeninimede registripidajad.
• Ühiskonna või majanduse jaoks elutähtsa teenuse ainus osutaja liikmesriigis või üksus, mille asutus on määranud kriitiliseks.
• Avaliku halduse asutused, olenevalt riigisisestest eeskirjadest.

Ülioluline või oluline?

I lisa sektorite suured üksused ning mõned suurusest sõltumatud üksused, nagu kvalifitseeritud usaldusteenuse osutajad ja DNS-teenuse osutajad, on üliolulised üksused (art 3 lg 1). Enamik ülejäänud kohaldamisalasse kuuluvatest üksustest on olulised üksused (art 3 lg 2).

Erinevus on oluline järelevalve ja trahvide seisukohast: üliolulisi üksusi võidakse auditeerida ennetavalt ja nende maksimaalsed trahvid on vähemalt 10 miljonit eurot või 2% ülemaailmsest käibest; oluliste üksuste üle teostatakse järelevalvet tagantjärele ja nende maksimaalsed trahvid on vähemalt 7 miljonit eurot või 1,4% (art-d 32–34).

Kohaldamisalast väljas olemine ei tähenda, et kohustusi pole

Kohaldamisalasse kuuluvad organisatsioonid peavad haldama oma otseste tarnijate turvalisust (art 21 lg 2 p d). Kui müüte kohaldamisalasse kuuluvale ettevõttele IT-teenuseid, tarkvara või muid teenuseid, oodake turvaküsimustikke ja lepingutingimusi ka siis, kui seadus Teid ei nimeta.

Meie tasuta NIS2 hindamine algab selle kohaldamisala kontrolliga ja hindab seejärel Teie valmisolekut kõigi kümne miinimummeetme lõikes.