NIS2 a holandský zákon o kybernetickej bezpečnosti: rozsah, povinnosti a lehoty

Holandský zákon o kybernetickej bezpečnosti ( Cyberbeveiligingswet , Cbw), ktorý implementuje smernicu NIS2, nadobudol účinnosť 15. augusta 2026. Vzťahuje sa na stredné a veľké organizácie v osemnástich určených sektoroch a na množstvo kľúčových poskytovateľov bez ohľadu na veľkosť; vláda odhaduje, že sa vzťahuje na približne 8 000 organizácií v Holandsku, z ktorých mnohé predtým nepodliehali žiadnym predpisom o kybernetickej bezpečnosti.

Jeho jadrom sú tri povinnosti. Organizácia v rámci pôsobnosti musí prijať vhodné a primerané opatrenia na riadenie rizík pre svoju sieť a informačné systémy vrátane dodávateľského reťazca (povinnosť starostlivosti, zorgplicht ). Významný incident musí nahlásiť v troch krokoch: včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečná správa do jedného mesiaca. A musí sa zaregistrovať v Národnom centre kybernetickej bezpečnosti (NCSC).

Pre mnohé predstavenstvá je kľúčovou zmenou to, kde leží zodpovednosť. Podľa článku 20 smernice musí vedenie schvaľovať opatrenia riadenia rizík, dohliadať na ich implementáciu a absolvovať školenia a môže byť zodpovedné, ak sa tieto povinnosti nesplnia. Túto zodpovednosť nemožno delegovať na IT oddelenie ani na externého poskytovateľa.

Čo je NIS2?

NIS2 je smernica (EÚ) 2022/2555, druhá európska smernica o bezpečnosti sietí a informácií. Nahradila prvú smernicu (NIS1) od 18. októbra 2024 a prináša oveľa širší rozsah pôsobnosti a prísnejší dohľad a presadzovanie.

Zatiaľ čo NIS1 rozlišoval medzi prevádzkovateľmi základných služieb a poskytovateľmi digitálnych služieb, NIS2 rozlišuje medzi základnými subjektmi ( essentiële entiteiten ) a dôležitými subjektmi ( belangrijke entiteiten ). Toto rozlíšenie určuje, aký intenzívny je dohľad a aké vysoké môžu byť pokuty.

Ktoré organizácie spadajú pod NIS2?

NIS2 sa vzťahuje na organizácie pôsobiace v osemnástich určených sektoroch, ktoré sú aspoň stredne veľké, plus na niektorých poskytovateľov bez ohľadu na ich veľkosť. Toto musíte posúdiť sami; žiadny nadriadený vám to nepovie.

Ktoré sektory sú pokryté?

Osemnásť sektorov je rozdelených na sektory s vysokou kritickosťou (príloha I smernice) a ostatné kritické sektory (príloha II).

• Sektory s vysokou dôležitosťou: energetika, doprava, bankovníctvo, infraštruktúra finančného trhu, zdravotníctvo, pitná voda, odpadová voda, digitálna infraštruktúra, správa IKT služieb pre podnikových používateľov, verejná správa a vesmír.
• Ďalšie kritické sektory: poštové a kuriérske služby, odpadové hospodárstvo, chemikálie, potraviny, výroba, poskytovatelia digitálnych služieb a výskumné organizácie.

V rámci každého sektora smernica špecifikuje, na ktoré typy organizácií sa vzťahuje. Napríklad vo výrobe sa týka výrobcov zdravotníckych pomôcok, počítačov a elektroniky, elektrických zariadení, strojov a vozidiel, nie všetkých výrobcov.

Aká je prahová hodnota veľkosti?

Organizácia v určenom sektore spadá pod NIS2, ak je aspoň stredným podnikom podľa odporúčania 2003/361/ES. V praxi to znamená 50 alebo viac zamestnancov alebo ročný obrat a celková ročná bilančná suma, ktoré presahujú 10 miliónov EUR.

Podľa európskej definície musia byť v zásade zahrnuté počty zamestnancov a finančné údaje partnerských a prepojených podnikov. Dcérska spoločnosť s 30 zamestnancami preto môže spadať do rozsahu pôsobnosti, ak patrí do väčšej skupiny.

Niektoré organizácie spadajú do rozsahu pôsobnosti bez ohľadu na veľkosť, pretože ich služby sa považujú za obzvlášť dôležité. Patria sem:

• poskytovatelia verejných elektronických komunikačných sietí a služieb;
• poskytovatelia dôveryhodných služieb;
• poskytovatelia služieb registrácie doménových mien, registre doménových mien najvyššej úrovne a poskytovatelia služieb DNS;
• orgány verejnej správy, medzi ktoré v Holandsku patria ministerstvá, provincie, obce a ich spoločné dojednania.

Vzťahuje sa na približne 8 000 organizácií, čo je oveľa viac ako v rámci predchádzajúceho zákona o bezpečnosti sietí a informačných systémov ( Wet beveiliging netwerk- en informatiesystemen , Wbni). Môžu byť postihnutí stredne veľkí výrobcovia, výrobcovia potravín, výskumné inštitúcie a poskytovatelia digitálnych služieb. Vláda ponúka prostredníctvom webových stránok NCTV a NCSC nástroj na podrobné sebahodnotenie.

Čo vyžaduje povinnosť starostlivosti?

Základné a dôležité subjekty musia prijať vhodné a primerané technické, prevádzkové a organizačné opatrenia na riadenie rizík pre svoje siete a informačné systémy. Tieto opatrenia musia zahŕňať aspoň oblasti uvedené v článku 21 smernice:

• analýza rizík a politika informačnej bezpečnosti;
• riešenie incidentov;
• kontinuita podnikania, správa záloh a obnova po havárii;
• bezpečnosť dodávateľského reťazca;
• bezpečnosť pri získavaní, vývoji a údržbe systémov vrátane riešenia zraniteľností;
• kybernetická hygiena a školenie zamestnancov;
• viacfaktorové overovanie a zabezpečená komunikácia;
• kryptografia a v prípade potreby šifrovanie;
• bezpečnosť ľudských zdrojov, kontrola prístupu a správa majetku;
• pravidelné hodnotenie účinnosti opatrení.

Opatrenia musia byť úmerné veľkosti organizácie a jej skutočným rizikám, takže menší dôležitý subjekt nepotrebuje rovnaké opatrenia ako veľký zásadný subjekt. Napriek tomu musíte byť schopní nadriadenému ukázať, aké riziká ste identifikovali, aké opatrenia ste prijali a prečo sú vhodné.

Ako funguje bezpečnosť dodávateľského reťazca v praxi?

Posudzujete kybernetickú bezpečnosť svojich priamych dodávateľov a poskytovateľov služieb a uzatvárate s nimi dohody. Mnohé incidenty začínajú u dodávateľa, a nie v samotnej organizácii.

V praxi to znamená preskúmanie vašich zmlúv. Užitočné klauzuly zahŕňajú minimálne bezpečnostné požiadavky, povinnosť dodávateľa bezodkladne vám hlásiť incidenty, práva na audit, subdodávateľské zmluvy a spoluprácu počas incidentu.

Čo musíte urobiť po incidente?

Po závažnom incidente musíte podať hlásenie v troch fázach: včasné varovanie do 24 hodín, oznámenie do 72 hodín a záverečná správa do jedného mesiaca. Lehoty plynú od okamihu, keď sa o incidente dozviete.

Incident je významný, ak spôsobil alebo môže spôsobiť vážne narušenie prevádzky alebo finančné straty pre organizáciu, alebo značnú materiálnu alebo nemateriálnu škodu iným osobám. Podľa článku 23 smernice:

• do 24 hodín: včasné varovanie príslušnému tímu pre reakciu na počítačové bezpečnostné incidenty (CSIRT) alebo orgánu s uvedením, či incident mohol byť spôsobený nezákonným alebo zlomyseľným konaním a či môže mať cezhraničný vplyv;
• do 72 hodín: oznámenie, ktoré aktualizuje včasné varovanie a poskytuje počiatočné posúdenie závažnosti a dopadu a prípadne aj indikátory ohrozenia;
• najneskôr do jedného mesiaca: záverečnú správu s opisom incidentu, jeho pravdepodobnej príčiny, prijatých opatrení a akýchkoľvek cezhraničných dôsledkov.

Vopred si stanovte postup: kto rozhoduje o tom, či je incident povinný oznámiť, kto ho oznamuje a ako je informovaná rada. Ak ide o osobné údaje, podľa článku 33 GDPR sa môže vyžadovať samostatné oznámenie holandskému úradu na ochranu údajov (Autoriteit Persoonsgegevens) do 72 hodín.

Akú zodpovednosť má predstavenstvo?

Podľa článku 20 smernice musí riadiaci orgán schvaľovať opatrenia na riadenie kybernetických bezpečnostných rizík, dohliadať na ich implementáciu a môže byť zodpovedný za porušenia. Jeho členovia musia tiež absolvovať školenie.

Zaznamenávať zapojenie predstavenstva spôsobom, ktorý je možné preukázať: vykonané školenia, rozhodnutia predstavenstva, schválené politiky, posúdenia rizík a dohľad nad implementáciou. Pre riaditeľov holandských spoločností je to tiež dôležité pre štandard riadneho plnenia povinností podľa článku 2:9 holandského občianskeho zákonníka (BW).

Ako Holandsko implementovalo NIS2?

Prostredníctvom zákona o kybernetickej bezpečnosti a zákona o odolnosti kritických entít ( Wet weerbaarheid kritieke entiteiten , Wwke), ktoré sú platné od 15. augusta 2026. Termín transpozície 17. októbra 2024 nebol dodržaný.

Senát ( Eerste Kamer ) schválil oba zákony 7. júla 2026. O deň neskôr, 8. júla 2026, sa Európska komisia rozhodla postúpiť prípad Holandska spolu s Írskom, Španielskom a Francúzskom Súdnemu dvoru Európskej únie za neoznámenie transpozičných opatrení.

WWKE implementuje smernicu CER (smernica (EÚ) 2022/2557) o fyzickej odolnosti kritickej infraštruktúry; príslušný minister formálne označil za kritické subjekty približne 500 organizácií. Nadobudnutím účinnosti CBW stratila platnosť WBNI.

Ako sa zaregistrujete v NCSC?

Základné a dôležité subjekty sa musia zaregistrovať v národnom registri subjektov prostredníctvom portálu Mijn.NCSC.nl. Registrácia je povinná od 15. augusta 2026 a zmeny je potrebné nahlásiť do dvoch týždňov.

Prístup vyžaduje eHerkenning na úrovni 3 alebo vyššej; subjekty verejného sektora používajú SSOnRijk. Zmena, ako napríklad zlúčenie alebo nové rozsahy IP adries, sa musí nahlásiť do dvoch týždňov a dozorný orgán môže vynútiť registráciu pokutou alebo príkazom podliehajúcim platbe penále. Po registrácii môžete využívať služby vášho CSIRT vrátane podpory počas incidentu.

Ako sú organizované dohľad a presadzovanie?

Základné subjekty podliehajú proaktívnemu dohľadu; dôležité subjekty reaktívnemu dohľadu. Obe kategórie musia spĺňať rovnaké základné povinnosti.

Pri proaktívnom dohľade môže supervízor vykonať kontrolu z vlastnej iniciatívy, napríklad vyžiadaním si informácií alebo návštevou miesta. Pri reaktívnom dohľade koná v reakcii na incident, sťažnosť alebo iný konkrétny signál.

Holandský úrad pre digitálnu infraštruktúru ( Rijksinspectie Digitale Infrastructuur , RDI) dohliada na deväť sektorov: energetiku, digitálnu infraštruktúru, správu IKT služieb, verejnú správu, vesmír, poštové a kuriérske služby, výrobu, digitálnych poskytovateľov a výskum. Pre ostatné sektory sú určení ďalší dozorcovia. Súbor nástrojov zahŕňa bezpečnostné audity, záväzné pokyny, príkazy s možnosťou pokuty, zverejnenie porušenia a pokuty; pre základné subjekty aj pozastavenie autorizácie alebo dočasný zákaz činnosti člena predstavenstva.

Podľa článku 34 smernice je maximálna pokuta pre základné subjekty najmenej 10 miliónov EUR alebo 2 % z celkového celosvetového ročného obratu, podľa toho, ktorá suma je vyššia. Pre dôležité subjekty je to najmenej 7 miliónov EUR alebo 1.4 %. Skutočná pokuta závisí od povahy, závažnosti a trvania porušenia a od stupňa zavinenia.

Čo by ste mali ako organizácia skontrolovať v rámci rozsahu?

Začnite so sebahodnotením a odtiaľ prejdite k opatreniam, procesu oznamovania a zapojenia predstavenstva. Povinnosti platia od 15. augusta 2026 bez prechodného obdobia.

• Zistite, či pôsobíte v určenom sektore a či spĺňate prahovú hodnotu veľkosti, berúc do úvahy spoločnosti v skupine.
• Určte, či ste nevyhnutný alebo dôležitý subjekt a ktorý nadriadený je kompetentný.
• Zaregistrujte sa v NCSC prostredníctvom Mijn.NCSC.nl a nahláste zmeny do dvoch týždňov.
• Otestujte svoje opatrenia na základe desiatich oblastí uvedených v článku 21 smernice.
• Zaznamenajte, kto oznamuje a ako sú dodržané 24-hodinové, 72-hodinové a jednomesačné lehoty.
• Dokumentovať rozhodnutia rady, školenia a dohľad.

Čo by ste mali skontrolovať ako dodávateľ organizácie v rozsahu pôsobnosti?

Aj keď vás NIS2 nekryje, vaši zákazníci vám často prenesú jeho požiadavky zmluvou. Skontrolujte si, čo podpisujete.

• Aké minimálne bezpečnostné požiadavky zmluva stanovuje a viete ich splniť?
• Do koľkých hodín musíte nahlásiť incident zákazníkovi?
• Ako ďaleko siahajú práva zákazníka na audit a kto za audit platí?
• Máte povolené zadávať subdodávateľské zmluvy a za akých podmienok?
• Je vaša zodpovednosť za bezpečnostný incident obmedzená?

Čo pre vás môžeme urobiť s NIS2 a zákonom o kybernetickej bezpečnosti?

Naši IT právnici pomáhajú firmám, riaditeľom a pracovníkom zodpovedným za dodržiavanie predpisov so zákonom o kybernetickej bezpečnosti.

• Spoločne s vami určíme, či vaša organizácia spadá do rozsahu pôsobnosti a v ktorej kategórii.
• Preskúmame vašu dokumentáciu o povinnosti starostlivosti podľa článku 21 smernice.
• Vypracúvame alebo kontrolujeme bezpečnostné, oznamovacie a audítorské doložky v zmluvách s dodávateľmi a zákazníkmi.
• Nastavili sme postup oznamovania incidentov vrátane prepojenia s oznámením o porušení údajov podľa GDPR.
• Radíme predstavenstvu v otázke jeho zodpovednosti a dokumentovania rozhodnutí a školení.

zhrnutie

• Holandský zákon o kybernetickej bezpečnosti implementuje NIS2 a uplatňuje sa od 15. augusta 2026 na približne 8 000 organizácií v osemnástich sektoroch.
• Spravidla sú zahrnuté stredné a veľké organizácie v týchto sektoroch; niektorí poskytovatelia sú zahrnutí bez ohľadu na ich veľkosť. Toto musíte posúdiť sami.
• Hlavnými povinnosťami sú povinnosť starostlivosti, postupné oznamovanie závažných incidentov (24 hodín, 72 hodín, jeden mesiac) a registrácia v NCSC.
• Predstavenstvo musí schváliť a dohliadať na opatrenia, absolvovať školenia a môže byť brané na zodpovednosť.
• Pokuty môžu dosiahnuť najmenej 10 miliónov eur alebo 2 % celosvetového obratu pre nevyhnutné subjekty a najmenej 7 miliónov eur alebo 1.4 % pre dôležité subjekty.

Často kladené otázky