A NIS2 irányelv hatálya széles körű, és nemcsak bizoyos kritikus vagy nagy kritikusságú ágazati közép- és nagyvállalatokra, hanem azok alvállalkozóira, szállítóláncaira, kisvállalkozásaira és közvetetten más iparági szereplőkre is kiterjed. Ez biztosítja az átfogó informatikai és hálózati biztonságot az egész gazdasági és infrastrukturális ökoszisztémában.
Mely szervezetekre vonatkozik a NIS2?
Az Európai Bizottság NIS2 irányelv gyakori kérdések oldalán található egy lista az érintett ágazatokról. További kritérium, hogy a szervezetnek legalább középvállalatnak kell lennie a 2003/361/EK bizottsági ajánlás alapján. Az ágazatok röviden összefoglalva:
- a nagy kritikusságú ágazatok (pl. energia, egészségügy, bizonyos számítástechnikai szolgáltatók és hírközlő rendszerek)
- és az egyéb kritikus ágazatok (pl. futárszolgálatok, hulladékgazdálkodás, elektronikai- és gépgyártás, bizonyos kereskedelmi szolgáltatók, stb).
A fenti listába az előzetes becslések alapján Magyarországon mintegy 1200-2500 szervezet tartozik bele. Azonban itt nincs feltétlenül vége a listának! Ráadásként a kibertan törvény kkv-kra is vonatkozik, ha azok a következő tevékenységek valamelyikével foglalkoznak: elektronikus hírközlési szolgáltatók, bizalmi szolgáltatók, DNS-szolgáltatást nyújtó szolgáltatók, legfelső szintű domainnév-nyilvántartók, vagy domainnév-regisztrációt végző szolgáltatók.
Emellett a NIS2 hatálya nem korlátozódik csak az adott vállalatra, hanem kiterjed az egész beszállítóláncra és az együttműködő beszállítókra is. Ez azt jelenti, hogy a vállalatoknak biztosítaniuk kell, hogy minden olyan szereplő, akivel kapcsolatban állnak az üzletmenetben, megfeleljenek az irányelv előírásainak. Pontosabban fogalmazva ne áshassák alá a kötelezett szervezet NIS2 megfelelését. Ezt a gyakorlatban kétféleképpen is el lehet érni.
- A beszállítók, alvállalkozók folyamatos auditja a szerepük szerint egyedileg meghatározott feltételek alapján.
- A NIS2 megfelelés megkövetelése a beszállítóktól.
Milyen további szervezeteknek lehetnek így érintettek a NIS2 megfelelési kötelezettségben?
Ismert tény, hogy sok szervezet, amelyekre a NIS2 irányelv vonatkozik, kiszervez bizonyos feladatokat alvállalkozóknak. Ezek az alvállalkozók is meg kell feleljenek az irányelv előírásainak, hogy biztosítsák a teljes körű biztonságot az adatok és hálózatok terén. Sok érintett szervezetnek nincsenek forrásai a folyamatos auditok lefolytatására, ezért úgy akarják majd bebiztosítani a saját megfelelésüket, hogy egyszerűen előírják a beszállítóinak is a megfelelési kötelezettséget. Tehát habár a jogszabályokból közvetlenül nem következik, de mégiscsak érintettek lehetnek egyéb szervezetek is:
- kötelezett szervezetek alvállalkozói,
- beszállítók,
- és akár önálló vállalkozók és kisvállalkozások.
Tehát a NIS2 nemcsak bizonyos közép- és nagyvállalatokra vonatkozik, hanem potenciálisan azokra az önálló vállalkozókra és kisvállalkozásokra is, amelyek jelentős szerepet játszanak az érintett szervezet informatikai infrastruktúrában és szolgáltatások nyújtásában.