Закон Нідерландів про кібербезпеку, Cyberbeveiligingswet, імплементує Європейську директиву NIS2. Він вимагає від організацій, що надають важливі послуги у вісімнадцяти визначених секторах, вживати відповідних заходів управління ризиками, повідомляти про значні інциденти та реєструватися в уряді.
Правова основа
Цей Закон імплементує Директиву (ЄС) 2022/2555 та набрав чинності 15 серпня 2026 року разом із Законом про стійкість критично важливих організацій. Він стосується приблизно восьми тисяч організацій у таких секторах, як енергетика, питна вода, цифрова інфраструктура, охорона здоров'я, транспорт та державне управління. Директива встановлює багаторівневий обов'язок звітності: раннє попередження протягом 24 годин після отримання інформації, повніше повідомлення про інцидент протягом 72 годин та остаточний звіт протягом одного місяця. На відміну від попереднього режиму, більше немає позначення окремих організацій; сектор у поєднанні з розміром підприємства визначає, чи потрапляєте ви під загрозу. Члени правління самі несуть відповідальність за затвердження заходів і повинні пройти навчання.
Як це працює на практиці
Перший крок – це самооцінка: чи належить ваша організація до одного з секторів, і якщо так, то чи є це суттєвим чи важливим? Ця відмінність головним чином визначає нагляд, який для важливих організацій може здійснюватися без будь-якої особливої причини. Обов'язок дбайливості полягає в наступному: аналіз ризиків, врегулювання інцидентів, безперервність бізнесу, ланцюг поставок, контроль доступу та шифрування. Зобов'язання щодо ланцюга поставок поширюється на постачальників, які самі не підпадають під дію Закону, оскільки вимоги передаються через контракти.
Де щось пішло не так
Організації занадто легко вважають, що вони не підпадають під дію цього положення, оскільки не є критично важливою інфраструктурою; перелік секторів є широким і включає управління відходами, поштові послуги, харчові продукти та цифрових постачальників. Друга помилка полягає у трактуванні обов'язку звітності як питання ІТ, коли 24-годинний термін можливий лише за умови попереднього узгодження рішення на рівні ради директорів. По-третє, питання передачі відповідальності постачальникам зазвичай не враховується в чинних контрактах.
Пов'язані терміни
Обов’язок звітності діє паралельно з обов’язком щодо повідомлення про порушення безпеки персональних даних , має свій власний термін та іншого регулятора, і враховується в угоді SaaS та угоді про обробку даних.
Подальше читання
Більше на цю тему: NIS2 у Нідерландах: юридичні консультації та кроки для ведення бізнесу , NIS2 та Закон Нідерландів про кібербезпеку: що потрібно знати вашій організації.
Бажаєте дізнатися, чи застосовується до вас цей Закон і що це означає? Наші ІТ-юристи проведуть оцінку разом з вами.
