Отнася ли се NIS2 за нашата фирма — и откъде да започнем?

На какъв въпрос отговаряме?

Управител получава въпросник за сигурност и пита дали фирмата вече „попада под NIS2 (директива на ЕС за киберсигурност)“. Зад това стоят три въпроса: има ли преки законови задължения, какво изисква договорът и достатъчни ли са наличните мерки. Отговорът само на единия оставя другите нерешени.

Изводът трябва да е за конкретно юридическо лице. Името на групата, търговската марка и статутът на клиента не определят автоматично положението на доставчика.

Три неща за първия разговор

Първо опишете какво действително доставя фирмата, къде работи и има ли лиценз. Второ подгответе данни за служители и финансови показатели заедно със собствеността и груповите връзки. Трето донесете искането от клиент или орган, срока и точния резултат, който очакват. Не е нужно сами да избирате правна категория.

Тези факти показват на кои въпроси може да се отговори и къде трябват още доказателства. Първият разговор не установява автоматично приложимостта. Отделно проверете кой ще приеме отговора към клиента и дали сертификат ISO или доклад SOC 2 е твърдо условие; попълването на въпросник не създава нито едното.

Кои факти събираме първо?

Опишете услугата през действителната работа. „Занимаваме се с технологии“ е твърде общо. Хостването на приложения, продажбата на лицензи и управлението на инфраструктура могат да поставят различни въпроси. Съпоставете дейността с конкретния сектор и вид субект.

Съберете данни за персонала, финансовите показатели и собствеността, необходими за правилата за размер. Броят служители не е целият тест. NIS2 и българският закон предвиждат категории и обстоятелства, при които обичайното правило за размер не е решаващо.

Ако сме малки или само обслужваме регулиран клиент?

Малкият размер е факт за анализ, а не автоматично освобождаване. Обслужването на банка също не превръща доставчика в адресат на всички задължения по DORA (регламент на ЕС за цифровата оперативна устойчивост на финансовия сектор). Клиентът може да изисква договорни ангажименти, доказателства и съдействие при инцидент. Запишете ги отделно от преките законови задължения.

Сравнението между DORA и NIS2 обяснява общата разлика. Тази проверка е за информацията, нужна за обоснован извод за конкретната фирма.

Как изглежда полезният извод?

Кратка бележка с дата, юридическо лице, дейности, използвана информация, относими разпоредби, извод и ограничения. За всеки липсващ факт определете кой ще го набави. „Вероятно сме в обхват“ без следваща стъпка трудно помага.

Прегледайте извода след придобиване, нова услуга, съществена промяна в размера или относима законодателна промяна. Първоначалният анализ не заменя цялостната оценка на мерките. Ако клиентският срок изтича по-рано, отговорете коректно на договорното искане, докато анализът продължава.

Какво следва, ако не предприемем нищо?

Ако дружеството попада в законовия обхват, неизпълнението на изискуеми мерки или задължения за докладване може да доведе до надзорни действия и санкции за конкретното нарушение. Ако изискването е договорно, непълният отговор може да забави или осуети клиентското одобрение според договорените условия. И двете могат да се отнасят за една фирма, но едното не доказва другото.

Запишете действителното изискване, срока и кой взема решението. Използвайте писмената оценка на приложимостта, когато законовият обхват е неясен; ако вече е установен, започнете с конкретната работа по клиентските доказателства.

Малка българска фирма в международна група

Местният брой служители не е достатъчен за извода за размер. Съберете връзките на собственост и контрол, както и финансовите и кадровите данни по приложимите правила за предприятия. Партньорските и свързаните предприятия могат да повлияят на изчислението. Условията на NIS2 за сектор и вид субект също трябва да се проверят; самото членство в група не поставя всяко дъщерно дружество в обхват.

Да разгледаме измислена българска фирма с 18 служители и контролиращо чуждестранно дружество майка. „Тук сме под 50 души“ не е защитим извод. Първо установете действителната дейност на българското юридическо лице. После определете кои данни за предприятията се събират, има ли категория или изключение независимо от размера и кои национални разпоредби уреждат случая. Не извеждайте показателите на майката или крайния статут от сайта на групата.

Общите системи създават втори, оперативен въпрос. Дори когато правните изводи за дружествата са различни, общата платформа за идентичност или доставчик може да създаде споделени зависимости. Запишете кой притежава контролите и кое лице може да получи доказателства. Това не слива отделните законови отговорности в общ етикет на групата.

Използвайте работния лист за приложимост в група, за да съберете собственост, дейност, данни за предприятията, зависимости от общи услуги и нерешени въпроси. Резултатът трябва да посочва провереното юридическо лице, основанието, липсващите факти и повода за нов преглед. Клиентските изисквания остават отделен извод, както е обяснено при доставчик на банка или регулиран субект.

Разгледайте подробно: NIS2 в България: кой попада, докога и какво следва.