Tasuta allalaadimine · 24 lehekülge · A4 PDF
NIS2 direktiiv: ingliskeelne kokkuvõte CISO-dele ja vastavusjuhtidele
24-leheküljeline ingliskeelne kokkuvõte direktiivist 2022/2555. Katab kohaldamisala, kümmet Article 21 meedet, Article 23 teavitamistähtaegasid (24h/72h/1 kuu), Annex I ja II sektore, haldustrahve ja 10-sammulist praktilist vastavuse teekaarti. Rediacci koostatud; ei ole ametlik tõlge.
See dokument on mitteametlik kokkuvõte. Siduva tõlgenduse saamiseks konsulteerige ametliku tekstiga OJ L 333/80, 27.12.2022.
Mis on PDF-is
Üheksateist jaotist CISO-dele ja vastavusjuhtidele, kes vajavad direktiivi sisu selges keeles – ilma 73 lehekülje põhjendustest ja artiklitest.
- Juhtkonna kokkuvõte
- Eesmärk ja õiguslik alus
- NIS1-st NIS2-ni: miks uus määrus?
- Kohaldamisala ja välistatud valdkonnad
- Põhimõisted
- Üksuste kategooriad: olulised ja tähtsad üksused
- Kohaldamisalas olevad sektorid (Annex I ja Annex II)
- Liikmesriikide kohustused
- Küberturvalisuse riskijuhtimise meetmed (Article 21)
- Intsidentide teavitamise kohustused (Article 23)
- Tarneahela turvalisus
- Juhtorgani vastutus
- EL-tasandi koostööstruktuurid
- Järelevalve ja täitmine
- Haldustrahvid
- Rakendamise ajakava ja üleminek
- Mõju EL-i välistele ettevõtetele
- Praktiline vastavuse teekava (10 sammu)
- Järeldus ja hinnang
Kolm täiendavat juhendit
PDF kaardistab direktiivi. Täiendavad juhendid muudavad kohustused hankimis- ja operatiivseteks otsusteks, ühe sihtrühma kaupa.
Article 21(2)(d) on hankijapoolne küsimus
Kuidas vendor-nõuded muutuvad, kui tarkvara jookseb teie enda serveril, mitte teenusepakkuja omadel. CISO-dele ja hankeekspertidele, kes 2026. aastal hankemäärusi uuesti kirjutavad.
Loe juhendit →Pidev tõhusus ilma näitemänguta
Article 21(2)(e), (f) ja 23 koos loetud. Konstantse-ajaga fork, mis teeb nädalalased harjutused realistlikuks, ja Article 23 teavitamistähtaeg, mida ei saa täita ilma kohtuekspertiisi-taseme artefaktideta. SRE ja ops-juhtidele.
Loe juhendit →Mida ostjad esimeses NIS2 audititsüklis ütlesid
Viie tööriista vastavuse pakk, mida keskturu olulised üksused vaikselt kokku panevad, millest isehostitav lahendus ühe asendab, ja kuluread, mis jäävad teie kanda igatahes. CFO-dele ja ostjatele, kes uuendusringi ees seisavad.
Loe juhendit →Korduvad küsimused
Kas see on direktiivi ametlik tõlge?
Ei. Tegemist on mitteametliku ingliskeelse kokkuvõttega, mille eesmärk on muuta direktiivi struktuur ja kohustused kättesaadavaks. Siduva tõlgenduse saamiseks konsulteerige ametliku tekstiga OJ L 333/80 (27. detsember 2022) või EUR-Lexi kaudu (CELEX 32022L2555). Teie liikmesriigi siseriiklikud ülevõtmisaktid võivad kehtestada rangemad või erinevas ulatuses kohustused kui direktiiv ise.
Kellele NIS2 kohaldub?
Annex I või II loetletud sektori üksused, mis vastavad keskmise suurusega kriteeriumile: 50+ töötajat või üle 10 miljoni euro käive (Recommendation 2003/361/EÜ). Annex I katab EU-s kõige kriitilisemaks peetavad sectorid: energia, transport, pangandus, finantsturud, tervishoiuteenus, veemajandus, digitaalinfrastruktuur, avalik haldus, kosmos. Annex II katab muud kriitilised sectorid: post, jäätmed, keemia, toiduainetööstus, tootmine, digitaalsed teenusepakkujad, teadusuuringud. Sõltumata suurusest kohaldatakse TLD-registrite, DNS-pakkujate, usaldusteenuste osutajate ja kesksete avaliku halduse asutuste suhtes. Jaotised 4, 6 ja 7 käsitlevad kohaldamisala üksikasjalikult.
Millal NIS2 jõustus ja mis on ülevõtmistähtaeg?
Direktiiv jõustus 16. jaanuaril 2023. Liikmesriikidel oli kuni 17. oktoobrini 2024 aega see siseriiklikku õigusesse üle võtta. Kohaldamine algas 18. oktoobril 2024 – samal päeval tunnistati NIS1 kehtetuks. Täielik ajakava, sealhulgas üksuste nimekirjade esitamise tähtaeg Komisjonile (17. aprill 2025) ja perioodilise arvustamise kava, on jaotises 16. Enamik meeskondi alahindavad, kui palju sellest ajast on juba möödunud.
Millised on maksimaalsed trahvid?
Oluliste üksuste puhul: 10 000 000 eurot või 2% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Tähtsate üksuste puhul: 7 000 000 eurot või 1,4% ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Direktiiv lubab ka muud sanktsioone. Viimase abinõuna võivad reguleerijad ajutiselt keelata oluliste üksuste tippjuhtide ametitegevust. Jaotis 15 käsitleb trahvide määramise kriteeriume.
Kas NIS2 kohaldub EL-i välistele ettevõtetele?
Jah, kahel viisil. Otseselt: EL-i välised DNS-, pilveteenuse-, andmekeskuste-, CDN-, MSP/MSSP-, veebituruplatsi-, otsingu- ja sotsiaalvõrgustikupakkujad, kes pakuvad teenuseid EL-is, peavad määrama EL-i esindaja ja täitma nõudeid. Kaudselt: iga EL-i väline tarnija, kes pakub tooteid või teenuseid EL-i olulistele või tähtsatele üksustele, allub tarneahela turvalisuse lepingulistele nõuetele, mille nende EL-i kliendid kehtestasid Article 21(2)(d) alusel. Jaotis 17 käsitleb mõlemat juhtumit.
Kuidas toimib Article 23 intsidentidest teavitamine?
Kolm tähtaega, kõik käivituvad hetkest, mil märgatakse olulist intsidenti: 24 tundi varajase hoiatuse jaoks, 72 tundi täieliku intsidenditeate jaoks ning üks kuu lõpparuande jaoks. Teenusekasutajaid tuleb samuti põhjendamatu viivituseta teavitada, kui oluline küberturvaoht on tõenäoline. Jaotis 10 sisaldab täielikku teavitamismaatriksit.
Selle kokkuvõtte kohta
Rediacc on Eestis registreeritud (OÜ 17363830, KM EE102920091) isehostitav infrastruktuuriplatvorm. Selle kokkuvõtte koostas Rediacc oma NIS2 sisuprogrammi raames. Täiendavad juhendid kirjeldavad, kuidas Rediacc käsitleb direktiivi konkreetseid artikleid, sealhulgas lüngad, kus Rediacc ei ole lahendus (sertifikaadid puuduvad; GRC kihti pole; Article 23 aruandlust ei haldata; portaalipoolne MFA). Avaliku võimekuse kaardistuse jaoks vaata dokumentatsioonis NIS2 and DORA.
Saada meile oma hankija-küsimustik või eelmise aasta kolm suurimat turvalisuseelarve-rida. Vastame meie enda serveril jooksvalt lahenduselt kirjalikult, sealhulgas lüngadega. Või laadi PDF alla ja edasta see kolleegile.
Laadi PDF alla