NIS2 2026: prasības, ziņošanas pienākumi un ieviešana vidējos uzņēmumos

Svarīgākais īsumā

• NIS2 ir ES direktīva par augstu kopīgu kiberdrošības līmeni. Vācijā tā ar NIS2 ieviešanas likumu ir piemērojama kopš 2025. gada 6. decembra bez pārejas perioda.
• Saskaņā ar Vācijas Federālā informācijas drošības biroja (BSI) datiem tā skar aptuveni 29 500 uzņēmumu no 18 nozarēm, tostarp daudzus vidējos uzņēmumus ar vismaz 50 darbiniekiem vai ar gada apgrozījumu un bilances kopsummu virs 10 miljoniem eiro.
• Galvenie pienākumi: reģistrācija BSI, desmit minimālie riska pārvaldības pasākumi, trīspakāpju ziņošanas kārtība (24 stundas, 72 stundas, viens mēnesis) un vadības ieviešanas un apmācības pienākumi.
• Par pārkāpumiem var piemērot naudas sodus līdz 10 miljoniem eiro vai 2 procentiem no pasaules apgrozījuma. Vadītāji ir atbildīgi pret savu sabiedrību par vainojami nodarītiem zaudējumiem.
• Tam, kurš NIS2 vēlas ne tikai dokumentēt, bet arī vadīt, ir vajadzīgi rādītāji, uzticami pārskati un ieplānoti budžeti.

Kas ir NIS2?

NIS2 ir otrā direktīva par pasākumiem augsta kopīga kiberdrošības līmeņa nodrošināšanai visā Eiropas Savienībā. Saīsinājums cēlies no angļu nosaukuma Network and Information Security. Juridiskais pamats ir Direktīva (ES) 2022/2555, kas stājās spēkā 2023. gada janvārī.

NIS2 direktīvas mērķis: tīklu un informācijas sistēmu drošība Eiropas Savienībā

Direktīvas mērķis ir vienots drošības līmenis tīklu un informācijas sistēmām visās dalībvalstīs. Kiberuzbrukumi enerģētikas uzņēmumiem, slimnīcām un loģistikas uzņēmumiem ir parādījuši, cik ļoti ekonomika un sabiedrība ir atkarīgas no funkcionējošām IT sistēmām. NIS2 uz to atbild ar saistošām minimālajām prasībām riska pārvaldībai, ziņošanai par incidentiem un pārvaldībai.

Uzmanības centrā ir to sistēmu pieejamība, integritāte un konfidencialitāte, ar kurām vienības sniedz savus pakalpojumus. Tādējādi NIS2 iet daudz tālāk par klasisko IT drošību un padara kibernoturību par uzņēmuma vadības jautājumu: runa ir par darbības nepārtrauktību, krīžu pārvaldību un visas piegādes ķēdes drošību.

Mūsu bloga lasītājiem NIS2 galvenokārt ir vadības uzdevums. Pamatus par aizsardzību pret kiberdraudiem atradīsiet mūsu rakstā par kiberdrošību uzņēmumos.

Nošķiršana no VDAR, DORA un kritiskās infrastruktūras noteikumiem

NIS2 nepastāv atsevišķi, bet ir daļa no blīva tiesiskā regulējuma. VDAR aizsargā personas datus, bet NIS2 aizsargā sistēmu un pakalpojumu darbspēju. Tāpēc drošības incidents var vienlaikus radīt pienākumu ziņot gan datu aizsardzības uzraudzības iestādei, gan BSI, katrai ar saviem termiņiem.

Bankām, apdrošinātājiem un citām finanšu iestādēm lielākoties prioritāras ir Digitālās darbības noturības akta (DORA) prasības. Kritisko objektu operatoriem papildus jāievēro Vācijas BSI likuma 31. panta īpašās prasības. Uzņēmumiem, uz kuriem attiecas vairāki regulējumi, procesi un pierādījumi jāveido tā, lai tos savāktu vienreiz un izmantotu vairākkārt.

No NIS direktīvas līdz NIS 2 direktīvai: kas ir mainījies

NIS2 aizstāj pirmo NIS direktīvu no 2016. gada. Svarīgākās izmaiņas īsumā:

• Plašāka darbības joma: nelielas kritiskās infrastruktūras operatoru grupas vietā tagad aptvertas 18 nozares, tostarp ražošana, pārtika, ķīmija un atkritumu apsaimniekošana.
• Lieluma sliekšņi atsevišķas noteikšanas vietā: uzņēmumiem pašiem jāpārbauda, vai uz tiem attiecas noteikumi. Iestādes noteikšana vairs nav vajadzīga.
• Stingrāki pienākumi: saistošs riska pārvaldības pasākumu katalogs un pakāpeniska ziņošanas kārtība ar īsiem termiņiem.
• Vadības atbildība: kiberdrošība skaidri kļūst par vadības uzdevumu ar ieviešanas, uzraudzības un apmācības pienākumiem.
• Bargākas sankcijas: naudas sodi miljonos un paplašinātas iestāžu uzraudzības pilnvaras.

NIS2 ieviešanas likums Vācijā

Kā ES direktīva NIS2 nav tieši piemērojama, bet tā jātransponē valsts tiesību aktos. Vācijā tas notiek ar likumu par NIS2 direktīvas ieviešanu, ko bieži dēvē vāciskajā saīsinājumā NIS2UmsuCG. Tas ir grozījumu likums, kas galvenokārt pilnībā pārstrādā Vācijas BSI likumu (BSIG).

Laika grafiks no ES direktīvas līdz Vācijas ieviešanas likumam

NIS2 ieviešana Vācijā prasīja ievērojami ilgāku laiku nekā plānots:

• Spēkā stāšanās ES līmenī, 2023. gada janvāris: NIS2 direktīva stājas spēkā.
• Transponēšanas termiņš, 2024. gada oktobris: termiņš direktīvas pārņemšanai valsts tiesību aktos beidzas. Vācija to nokavē, cita starpā iepriekšējā parlamenta sasaukuma priekšlaicīgas beigšanās dēļ.
• Izsludināšana, 2025. gada 5. decembris: NIS2 ieviešanas likums tiek izsludināts Federālajā likumu vēstnesī.
• Spēkā stāšanās, 2025. gada 6. decembris: likums stājas spēkā. Jaunās prasības ir piemērojamas no šīs dienas bez pārejas perioda.
• BSI portāls, 2026. gada 6. janvāris: sāk darboties jaunais BSI portāls reģistrācijai un ziņošanai.
• Reģistrācijas termiņš, 2026. gada 6. marts: beidzas trīs mēnešu reģistrācijas termiņš vienībām, uz kurām noteikumi attiecas kopš likuma stāšanās spēkā.

Uzņēmumiem tas nozīmē: pienākumi jau ir spēkā. Tam, kurš vēl nav sācis, rīcība ir nepieciešama steidzami.

Plānotās izmaiņas ES līmenī

Tiesiskais regulējums turpina mainīties. Eiropas Komisija 2025. gada novembrī Digitālā omnibusa ietvaros ierosināja vienotu ziņošanas punktu incidentiem. Pēc tam 2026. gada janvārī sekoja priekšlikums par mērķtiecīgiem grozījumiem pašā NIS2 direktīvā, kopā ar ES Kiberdrošības akta pārskatīšanu.

Priekšlikumu mērķis ir skaidrāk noteikta darbības joma, atvieglojumi mazākiem uzņēmumiem un iespēja apliecināt atbilstību ar Eiropas sertifikāciju. Galvenie riska pārvaldības pienākumi lielākoties paliks spēkā. Līdz pieņemšanai esošais tiesiskais regulējums ir piemērojams nemainīgi. Tāpēc uzņēmumiem izmaiņām jāseko līdzi, bet nevajadzētu tās gaidīt.

Kurus tā skar? Nozares, sliekšņi un vienību veidi

Vai uz uzņēmumu attiecas NIS2, nosaka divi jautājumi: kurā nozarē tas darbojas un cik liels tas ir? Katram uzņēmumam tas jāpārbauda pašam.

NIS2 direktīvas 18 nozares

Direktīva izšķir vienpadsmit augstas kritiskuma nozares un septiņas citas kritiskās nozares.

Augstas kritiskuma nozares (I pielikums): enerģētika, transports, banku darbība, finanšu tirgus infrastruktūras, veselība, dzeramais ūdens, notekūdeņi, digitālā infrastruktūra, IKT pakalpojumu pārvaldība (B2B), valsts pārvalde un kosmoss.

Citas kritiskās nozares (II pielikums): pasta un kurjeru pakalpojumi, atkritumu apsaimniekošana, ķīmija, pārtika, ražošana, digitālo pakalpojumu sniedzēji un pētniecība.

Tieši ražošana padara NIS2 aktuālu vidējiem uzņēmumiem. Tā aptver, piemēram, mašīnu, transportlīdzekļu, elektronisko izstrādājumu un medicīnisko ierīču ražotājus. Digitālā infrastruktūra ietver arī mākoņdatošanas pakalpojumu sniedzējus un datu centrus. Vācijas tiesību akti šīs nozares atspoguļo BSI likuma 1. un 2. pielikumā, bet federālā pārvalde tiek regulēta atsevišķi.

Īpaši svarīgas un svarīgas vienības

Vācijas likums izšķir divus vienību veidus. Direktīvā runāts par būtiskām un svarīgām vienībām. Vācijas BSI likumā tā vietā lietoti termini īpaši svarīgas vienības un svarīgas vienības.

Īpaši svarīgas vienības saskaņā ar BSI likuma 28. pantu galvenokārt ir uzņēmumi no 1. pielikuma nozarēm ar vismaz 250 darbiniekiem vai ar gada apgrozījumu virs 50 miljoniem eiro un gada bilances kopsummu virs 43 miljoniem eiro. Kritisko objektu operatori neatkarīgi no lieluma tiek uzskatīti par īpaši svarīgām vienībām, tāpat kā noteikti telekomunikāciju un uzticamības pakalpojumu sniedzēji.

Svarīgas vienības ir uzņēmumi no 1. un 2. pielikuma nozarēm, kuros strādā vismaz 50 darbinieku vai kuru gada apgrozījums un gada bilances kopsumma katrs pārsniedz 10 miljonus eiro, ja vien tie jau nav īpaši svarīgi.

Šis nošķīrums galvenokārt ietekmē uzraudzību un naudas sodu apmēru. Riska pārvaldības un ziņošanas pienākumi attiecas uz abām grupām.

Atbilstības pārbaude: kas skartajiem uzņēmumiem jānoskaidro tagad

Atbilstības pārbaude ir pirmais solis. Jums būtu jānoskaidro šādi jautājumi:

• Kurā nozarē ir uzņēmuma darbība, un ne tikai pamatdarbība, bet visas būtiskās darbības?
• Kāds darbinieku skaits, apgrozījums un bilances kopsumma ir noteicošie, ņemot vērā arī saistītos uzņēmumus?
• Vai uzņēmums ir kritiska objekta operators?
• Vai tas ir skartas vienības piegādātājs vai pakalpojumu sniedzējs?

Pēdējais punkts bieži tiek novērtēts par zemu. Uz piegādātājiem NIS2 automātiski neattiecas. Taču to klientiem jāpierāda piegādes ķēdes drošība, un tie prasības nodod tālāk līgumos. Tāpēc arī neregulētas organizācijas jūt NIS2 ietekmi iepirkumos, auditos un līgumos.

Reģistrācija Vācijas Federālajā informācijas drošības birojā

Visām skartajām vienībām jāreģistrējas Vācijas Federālajā informācijas drošības birojā (BSI). Saskaņā ar BSI likuma 33. pantu reģistrācijas termiņš ir trīs mēneši pēc tam, kad uz vienību pirmo reizi sāk attiekties noteikumi. Uzņēmumiem, uz kuriem noteikumi attiecas kopš likuma stāšanās spēkā, tas beidzās 2026. gada 6. martā.

Reģistrācija notiek divos soļos:

• Mein Unternehmenskonto (MUK): vispirms uzņēmumi izveido organizācijas kontu, pamatojoties uz ELSTER sertifikātu, kas pazīstams no Vācijas nodokļu procedūrām.
• BSI portāls: pēc tam BSI portālā notiek faktiskā reģistrācija. Jānorāda, cita starpā, nosaukums, juridiskā forma, kontaktinformācija, nozare un vienības veids, kā arī sasniedzama kontaktpersona.

Tam, kurš nokavējis termiņu, jāreģistrējas nekavējoties. Pienākums joprojām pastāv, un reģistrācijas trūkums var izraisīt naudas sodu. Savā lapā par NIS2 regulētajiem uzņēmumiem BSI piedāvā atbilstības pārbaudi un instrukcijas. Par izmaiņām datos ir jāziņo.

Reģistrācija ir kas vairāk par formalitāti. Caur portālu turpmāk notiks arī ziņošana par drošības incidentiem un BSI brīdinājumi.

Riska pārvaldība saskaņā ar BSIG 30. pantu: minimālās IT drošības prasības

NIS2 pienākumu kodols ir riska pārvaldība. Īpaši svarīgām un svarīgām vienībām jāveic piemēroti, samērīgi un efektīvi tehniski un organizatoriski pasākumi. To mērķis ir novērst to sistēmu pieejamības, integritātes un konfidencialitātes traucējumus un pēc iespējas mazināt drošības incidentu ietekmi.

Desmit minimālie pasākumi

BSI likuma 30. panta 2. daļā uzskaitīti desmit pasākumi, kas jāīsteno kā minimums:

• Riska analīzes un informācijas drošības politikas
• Incidentu apstrāde
• Darbības nepārtrauktība, rezerves kopiju pārvaldība, atjaunošana pēc avārijas un krīžu pārvaldība
• Piegādes ķēdes drošība
• Drošība sistēmu iegādē, izstrādē un uzturēšanā, tostarp ievainojamību pārvaldība
• Riska pārvaldības pasākumu efektivitātes novērtēšana
• Apmācība un izpratnes veicināšana
• Kriptogrāfijas izmantošana
• Personāla drošība, piekļuves kontrole un IKT sistēmu pārvaldība
• Daudzfaktoru autentifikācija un aizsargāta saziņa

Pasākumiem jāatbilst jaunākajām tehnoloģijām, jāņem vērā attiecīgie Eiropas un starptautiskie standarti un jābalstās uz visu apdraudējumu pieeju. Tas nozīmē, ka papildus kiberuzbrukumiem jāņem vērā arī fiziski riski, tehniskas kļūmes un cilvēka kļūdas.

Izšķirošs ir samērīgums. Jāizvērtē riska pakāpe, uzņēmuma lielums, ieviešanas izmaksas, kā arī iespējamo incidentu varbūtība un smagums. Atbilstība ir jādokumentē. Noteiktiem digitālajiem pakalpojumu sniedzējiem, piemēram, mākoņdatošanas pakalpojumu sniedzējiem, papildus piemērojamas Komisijas regulas, proti, Īstenošanas regulas (ES) 2024/2690, tehniskās prasības.

Piegādes ķēdes drošība

Piegādes ķēdes drošība ir viena no sarežģītākajām prasībām. Vienībām jāpārvalda ar drošību saistītie aspekti attiecībās ar saviem tiešajiem piegādātājiem un pakalpojumu sniedzējiem.

Praksē tas nozīmē kritisko piegādātāju reģistru, riska novērtējumu katram piegādātājam, līgumiskas drošības prasības un regulāras pārbaudes. Īpaši svarīgi ir IKT pakalpojumu, pārvaldīto pakalpojumu un programmatūras komponentu sniedzēji, kuriem ir tieša piekļuve sistēmām.

Pienākums ziņot par drošības incidentiem

NIS2 ievieš pakāpenisku ziņošanas kārtību. Par būtiskiem drošības incidentiem BSI jāziņo trīs posmos:

• Sākotnējais ziņojums 24 stundu laikā: nekavējoties, ne vēlāk kā 24 stundas pēc uzzināšanas, norādot, vai ir aizdomas par nelikumīgu vai ļaunprātīgu darbību un vai iespējama pārrobežu ietekme.
• Ziņojums 72 stundu laikā: atjauninājums ar incidenta, tā smaguma un ietekmes sākotnējo novērtējumu, kā arī, ja iespējams, kompromitēšanas indikatoriem.
• Noslēguma ziņojums pēc viena mēneša: ne vēlāk kā mēnesi pēc 72 stundu ziņojuma seko detalizēts ziņojums par cēloni, veiktajiem pasākumiem un ietekmi. Ja incidents joprojām turpinās, vispirms jāiesniedz progresa ziņojums.

Pēc BSI pieprasījuma var būt nepieciešami arī starpposma ziņojumi. Incidents ir būtisks galvenokārt tad, ja tas var izraisīt nopietnus darbības traucējumus vai finanšu zaudējumus vai būtiski kaitēt trešajām personām.

Praksē lielākais šķērslis ir 24 stundu termiņš. Tas prasa skaidru atbildības sadalījumu, sasniedzamību arī nedēļas nogalēs un sagatavotas ziņošanas veidnes. Bez izstrādāta un vingrināta incidentu apstrādes procesa to gandrīz nav iespējams ievērot.

Vadības pienākumi un atbildība

NIS2 skaidri nosaka kiberdrošību par vadības pienākumu. Saskaņā ar BSI likuma 38. pantu īpaši svarīgu un svarīgu vienību vadībai jāīsteno riska pārvaldības pasākumi un jāuzrauga to īstenošana.

Ja vadītāji šo pienākumu pārkāpj, viņi ir atbildīgi pret savu vienību par vainojami nodarītiem zaudējumiem saskaņā ar piemērojamajām komerctiesību normām. Šo atbildību nevar pilnībā deleģēt IT nodaļai vai ārējiem pakalpojumu sniedzējiem. Deleģēt var izpildi, bet ne uzraudzību.

Turklāt pastāv apmācības pienākums: vadībai regulāri jāpiedalās apmācībās. Tai jāspēj atpazīt un novērtēt riskus un riska pārvaldības praksi, kā arī izvērtēt to ietekmi uz vienības pakalpojumiem. BSI ir publicējis par to vadlīnijas.

Lēmumu pieņēmējiem no tā izriet skaidrs pārvaldības uzdevums: viņiem vajadzīga regulāra, saprotama informācija par pasākumu stāvokli, riskiem un incidentiem. Ar IT nodaļas ikgadējo ziņojumu nepietiek.

Naudas sodi un BSI uzraudzība

Noteikumi par naudas sodiem ir ietverti BSI likuma 65. pantā. Par smagākajiem pārkāpumiem, piemēram, riska pārvaldības vai ziņošanas pienākumu pārkāpumiem, piemērojams:

• Īpaši svarīgas vienības: naudas sodi līdz 10 miljoniem eiro. Ja pasaules kopējais apgrozījums pārsniedz 500 miljonus eiro, iespējams sods līdz 2 procentiem no šā apgrozījuma.
• Svarīgas vienības: naudas sodi līdz 7 miljoniem eiro vai 1,4 procentiem no pasaules kopējā apgrozījuma uzņēmumiem ar apgrozījumu virs 500 miljoniem eiro.

Arī reģistrācijas pienākuma pārkāpumi ir sodāmi ar naudas sodu. BSI var pieprasīt pierādījumus, noteikt pārbaudes un dot saistošus norādījumus. Uzraudzības pilnvaras attiecībā uz īpaši svarīgām vienībām ir plašākas nekā attiecībā uz svarīgām vienībām, kuru gadījumā BSI rīkojas galvenokārt konkrēta iemesla dēļ.

Papildus naudas sodam bieži smagākas ir netiešās sekas: darbības pārtraukumi, klientu uzticības zaudēšana un izslēgšana no iepirkumiem, kuros pasūtītāji prasa atbilstību NIS2.

NIS2 ieviešana vidējos uzņēmumos: ceļvedis sešos soļos

Prasības šķiet apjomīgas, taču tās var īstenot strukturēti. Praksē sevi ir pierādījusi pieeja sešos soļos. Turpmākie soļi balstās viens uz otru:

• Pārbaudīt atbilstību: noskaidrot nozari, lielumu un vienības veidu un dokumentēt rezultātu.
• Reģistrēties: izveidot MUK kontu un pabeigt reģistrāciju BSI portālā.
• Veikt esošās situācijas analīzi: novērtēt katra no desmit minimālajiem pasākumiem stāvokli un noteikt prioritātes trūkumu novēršanai.
• Noteikt atbildību: iecelt atbildīgos par informācijas drošību, ziņošanu un piegādātāju pārvaldību un apmācīt vadību.
• Īstenot un dokumentēt pasākumus: novērst trūkumus atbilstoši riskam ar skaidriem termiņiem un budžetiem.
• Novērtēt efektivitāti: definēt rādītājus, regulāri ziņot un vingrināt ziņošanas procedūru.

ISO 27001 kā pamats

Daudzi uzņēmumi par pamatu izmanto informācijas drošības pārvaldības sistēmu saskaņā ar ISO 27001 vai BSI IT-Grundschutz. Šie atbilstības standarti ar saviem drošības pasākumiem aptver lielu daļu riska pārvaldības prasību. Tomēr tie automātiski neizpilda visus NIS2 pienākumus.

Specifiski NIS2 pienākumi ir īpaši reģistrācija, pakāpeniskā ziņošanas kārtība ar fiksētiem termiņiem un vadības pienākumi. Sertifikācija arī neaizstāj pārbaudi, vai ISMS darbības joma aptver visus būtiskos pakalpojumus un atrašanās vietas.

Kā padarīt kiberdrošību vadāmu: rādītāji un pārskati vadībai

Šeit daudzi ieviešanas projekti apstājas. Pasākumi tiek pieņemti un dokumentēti, bet vadība nesaņem pastāvīgu priekšstatu par to, vai tie darbojas. Tieši to prasa BSI likuma 38. panta uzraudzības pienākums.

Efektīvai vadībai vajadzīgi trīs elementi. Pirmkārt, rādītāji, kas padara drošības stāvokli izmērāmu, piemēram, sistēmu īpatsvars ar daudzfaktoru autentifikāciju, laiks līdz kritisko ievainojamību novēršanai, apmācību aptvere, kritisko piegādātāju riska statuss un ziņošanas termiņu ievērošana mācībās.

Otrkārt, pārskati, kas apvieno šos datus no dažādiem avotiem un saprotami tos sagatavo vadībai, piemēram, informācijas panelī. Treškārt, saikne ar plānošanu: drošības pasākumi prasa naudu un personālu, tāpēc tie pieder budžetā un vidēja termiņa plānošanā.

Kā kiberriskus izteikt skaitļos un ar Qlik un Corporate Planner integrēt uzņēmuma vadībā, parāda mūsu raksts par kiberriska pārvaldību ar Qlik un Corporate Planner. Tā NIS2 no obligātas programmas kļūst par uzņēmuma vadības daļu, un vadība var pierādīt savas uzraudzības pienākuma izpildi.

Biežāk uzdotie jautājumi par NIS2

Kas tieši ir NIS2?

NIS2 ir ES Direktīva (ES) 2022/2555 par augstu kopīgu kiberdrošības līmeni. Tā uzliek uzņēmumiem no 18 nozarēm pienākumu īstenot riska pārvaldību, ziņot par drošības incidentiem un reģistrēties. Vācijā tā tiek ieviesta ar NIS2 ieviešanas likumu un jauno BSI likumu.

Kam jāievieš NIS2?

Uzņēmumiem no 18 aptvertajām nozarēm, kuros strādā vismaz 50 darbinieku vai kuru gada apgrozījums un gada bilances kopsumma pārsniedz 10 miljonus eiro. Kritisko objektu operatori un noteikti digitālo pakalpojumu sniedzēji ir skarti neatkarīgi no lieluma.

Vai NIS2 attiecas uz manu uzņēmumu?

Uzņēmumiem tas jāpārbauda pašiem. Noteicošā ir darbības nozare un lielums pēc darbinieku skaita, apgrozījuma un bilances kopsummas. BSI šim nolūkam piedāvā tiešsaistes atbilstības pārbaudi.

Kad uz uzņēmumu sāk attiekties NIS2 pienākumi?

Tiklīdz uzņēmums atbilst kritērijiem, pienākumi ir piemērojami nekavējoties. Reģistrācijai BSI ir trīs mēneši no brīža, kad uz vienību pirmo reizi sāk attiekties noteikumi.

Kopš kura laika NIS2 ir spēkā Vācijā?

NIS2 ieviešanas likums stājās spēkā 2025. gada 6. decembrī. Pārejas perioda materiālajām prasībām nav.

Kas notiek, ja reģistrācijas termiņš ir nokavēts?

Reģistrācijas pienākums joprojām pastāv, un reģistrācija jāveic nekavējoties. Par reģistrācijas neveikšanu var piemērot naudas sodu.

Kādi ziņošanas termiņi attiecas uz drošības incidentiem?

Par būtiskiem drošības incidentiem BSI jāziņo 24 stundu laikā ar sākotnējo ziņojumu, 72 stundu laikā ar sākotnējo novērtējumu un ne vēlāk kā mēnesi pēc tam ar noslēguma ziņojumu.

Vai vadītājs ir personiski atbildīgs?

Vadībai jāīsteno un jāuzrauga riska pārvaldības pasākumi. Ja vadītāji šo pienākumu vainojami pārkāpj, viņi saskaņā ar piemērojamajām komerctiesību normām ir atbildīgi pret savu sabiedrību par radītajiem zaudējumiem.

Cik lieli ir NIS2 naudas sodi?

Īpaši svarīgām vienībām draud sodi līdz 10 miljoniem eiro, svarīgām vienībām līdz 7 miljoniem eiro. Uzņēmumiem ar apgrozījumu virs 500 miljoniem eiro iespējami sodi attiecīgi līdz 2 vai 1,4 procentiem no pasaules apgrozījuma.

Vai ar ISO 27001 pietiek NIS2 prasību izpildei?

ISMS saskaņā ar ISO 27001 ir labs pamats un aptver daudzas riska pārvaldības prasības. Specifiski NIS2 pienākumi, piemēram, reģistrācija, ziņošanas termiņi un vadības pienākumi, jāīsteno papildus.

Vai NIS2 attiecas arī uz piegādātājiem?

Ne tieši, ja vien piegādātājs pats neatbilst kritērijiem. Taču skartajiem klientiem jāpārvalda savas piegādes ķēdes drošība, un tie prasības nodod tālāk līgumos.