Poola KSC/NIS2 IT-pakkujatele: hinnang ja tegevusregister

Klient küsib, kas teie IT-ettevõte kuulub NIS2 alla ja kus ta säilitab turvatöö tõendeid. Vastamiseks dokumenteerige organisatsioon, kohaldatav jurisdiktsioon ja hindamise alus. Seejärel määrake järgmised toimingud. Ettevõtte märgis, näiteks “tarkvaramaja”, ei määra selle juriidilist klassifikatsiooni ja täidetud küsimustik ei asenda läbivaadatud otsust.

See juhend käsitleb Poola KSC õigusakte, millega rakendatakse NIS2. Tõlked muudavad sama Poola õiguse juhendi kättesaadavaks ka teistes keeltes; nad ei muuda selle kuupäevi teise riigi jaoks tähtaegadeks. Kontrollige kehtivat riiklikku seadust, kus teie organisatsioon tegutseb. Siin kirjeldatud protsess on toimetuslik töömeetod, mis on eraldi alljärgnevates allikates toodud juriidilistest nõuetest.

Alustage ettevõttest, mis tegelikult teenust pakub

Kirjutage üles juriidiline isik, tema tegevus, kliendid ja teenused. Eristada kliendile tarkvara arendamist hallatava teenuse osutamisest või muud tüüpi IKT-teenuse osutamisest. Tegevus ja juriidilised kriteeriumid on olulisemad kui veebisaidil kasutatav nimi. Kaasake üksuse roll rühmas ja kõik suhted, mis on olulised selle suuruse hindamisel.

Andke sellele kirjele omanik. Omanik kogub äriteavet ja korraldab nõutavate juriidiliste ja tehniliste teadmistega inimeste läbivaatamise. Turvajuht võib mõista süsteeme, kuid vajab grupisuhete kinnitamiseks rahalisi vahendeid või juhtimist. Juht võib lepingut teada, kuid tal on vaja tehnilist kirjeldust selle kohta, mida klientide jaoks kasutatakse. Hindamine vajab mõlemat tüüpi teavet.

Hoidke lähteteave otsuse juures alles. Järeldust ilma tegevuse kirjelduse, suuruse aluse ja kohaldatava sätteta muutub pärast äritegevuse muutumist raskeks uuesti läbi vaadata. Kui fakt on teadmata, märgi lünk ja inimene, kes selle lahendab. Ärge valige vastust lihtsalt sellepärast, et see annab kontrollis mugavama tulemuse.

Kasutage kontrolli esmase hinnanguna

Pulsari avalik KSC/NIS2 kontrollija küsib tegevuste, suuruse ja ettevõtte suhete kohta ning koostab esialgse ulatuse hinnangu, tähtajad ja tõendite kontrollnimekirja. Avaldatud kirjelduses öeldakse, et vastused jäävad brauserisse ja tulemuse saab printida. Enne protsessis sellele kirjeldusele tuginemist kontrollige praeguseid küsimusi ja tulemusi.

Vastake dokumenteeritud olemi ja tegevuste abil. Kui küsimus sõltub rühma suurusest või tegevuse kategooriast, mida te ei saa lahendada, salvestage küsimus ülevaatamiseks. Märkige üles hindamise kuupäev ja versioon, kui see on saadaval, koos kasutatud juriidilise allikaga. Tulemus peaks aitama kindlaks teha, mida uurida ja dokumenteerida; see ei ole siduv juriidiline kvalifikatsioon.

Lugege tulemuse kõrval olevaid selgitusi. Selline järeldus, mis võib olla kohaldamisala kohta, peaks viima läbivaatamiseni, mitte automaatse vastavusdeklaratsioonini. Ilmne reguleerimisalast välja jääv tulemus peaks samuti jääma seotuks esitatud faktidega. See võib muutuda, kui ettevõte hakkab osutama uut teenust, omandab teise üksuse või muudab oma suhteid.

Käsitlege oktoobrikuist registreerimiskuupäeva möödunud tähtajana

10.10.2026 seisuga on 3.10.2026 juba möödas. Poola valitsuse avaldatud juhendis on märgitud muudatuse jõustumise ajal seadusjärgsetele kriteeriumidele vastavate üksuste registreerimiskuupäev. Samuti tuvastatakse 3. aprill 2027 S46-ga ühendamiseks ja selles rühmas määratud kohustuste rakendamiseks. Lugege kohustuslikke tingimusi ja kehtivaid valitsuse juhiseid teie üksuse kohta kehtiva olukorra kohta.

Kui teie organisatsioonile kehtis eelmine registreerimistähtaeg ja registreerimine pole veel lõppenud, registreerige probleem täpselt ja korraldage nõutud toimingute kiire ülevaatus. Ärge esitage kuupäeva veel saadaoleva kellaajana, järeldage ajapikendust ega muutke seda, et artikkel näeks välja ajakohane. Teie tegevusaruanne peaks sisaldama kohaldatavat alust ja tegelikku hetkeolekut.

Üksused, mille asjaolud erinevad, vajavad kohaldatava ajastuse kohta oma hinnangut. Ärge kopeerige igasse toimingusse ühte kuupäeva, kuna kontroller kuvab selle konkreetse stsenaariumi jaoks. Registrist tuleks näidata, milline eeldus kehtestas tähtaja. Kui jääb alles mõni juriidiline küsimus, määrake see kvalifitseeritud ülevaatajale ja hoidke ebakindlus nähtavana, kuni see on lahendatud.

Teisendage hinnang väikeseks tegevusregistriks

Alustage piiratud hulga tegevustega, mida toetab läbivaadatud hinnang. Igal toimingul on vaja eesmärki, omanikku, tähtaega, eeldatavaid tõendeid ja vajaduse korral ülevaatajat. Vältige pikka nimekirja, mis reprodutseerib õigusakte ilma järgmist tööd tuvastamata. Meeskond peaks suutma öelda, mis sel nädalal juhtuma peab ja milline otsus ootab infot.

Eraldage hindamistoimingud rakendusmeetmetest. Ettevõtte kriteeriumile vastavuse kinnitamine erineb juhtumiprotseduuri muutmisest. Dokumendi koostamine erineb selle vastuvõtmisest ja kasutamisest. Infoturbe haldusprotsessi registreerimisel, tehnilisel ühendamisel ja toimimisel on samuti selged väljundid. Üks NIS2 tehtud ülesanne varjab neid erinevusi.

Kasutage nimesid, mis selgitavad tulemust. „Hallatud teenuse ulatuse ülevaatamine kohaldatava sätte alusel” on kasulikum kui „NIS2 analüüs”. “Kinnita vahejuhtumi eskalatsiooniprotseduur ja korraldage proov” on kasulikum kui “turvapoliitika”. Sõnastus aitab retsensendil otsustada lõpetamise üle tõendite, mitte autori enesekindluse põhjal.

Sünteetiline näide hallatava IT-teenuse kohta

Mõelge väljamõeldud Poola IT-teenuse pakkujale, kes arendab rakendusi ja haldab klientidele ka hallatud teenust. Selle juhtkond soovib dokumenteerida ulatuse hindamise ja parandada juhtumitega seotud toimingute määramise viisi. See näide ei väida, et iga sellise tegevusega ettevõte kuulub KSC alla; selle klassifitseerimine jääb kohaldatavate kriteeriumide alusel ülevaatamiseks.

Looge üks nõudekirje, mis sisaldab allikaviidet ja ülevaadatud kohaldatavuse selgitust. Linkige ebaselget eskalatsioonimarsruuti kirjeldav risk ja toiming selle marsruudi ülevaatamiseks. Nimetage menetluse ettevalmistamise eest vastutav isik, selle läbivaataja ja läbivaatamise kuupäev. Hoidke algdokumendi versioon koos kirjega, et teine ​​​​isik saaks aluse rekonstrueerida.

Tõendite saamiseks kasutage väljamõeldud protseduuri väljavõtet ja proovimärkust. Tuvastage mõlemad sünteetiliseks. Harjutus peaks näitama kirjesuhteid ilma kliendilepingute või juhtumite andmeid paljastamata. Tulemuseks on toimiv näide nõuete, tegevuste ja tõendite haldamisest, mitte tõendid selle kohta, et väljamõeldud või tegelik organisatsioon täidab kõiki juriidilisi kohustusi.

Vaadake üle, mida tõendid tegelikult näitavad

Üleslaaditud protseduur näitab, et dokument oli teatud versioonis saadaval. Ülevaatuse kirje võib näidata, kes seda kaalus ja millise otsuse nad tegid. Proovimärkus võib näidata, mis määratletud harjutuses juhtus. Need kirjed vastavad erinevatele küsimustele ja ükski ei peaks vaikselt kõigi teiste eest seisma.

Paluge ülevaatajal kontrollida tõendeid toimingu aktsepteerimiskriteeriumi suhtes. Kas uus kord nimetab eskalatsiooni omanikke ja asendajaid? Kas proovis selgus puuduv kontakt? Kas see lünk määrati ja lahendati? Kui oodatud tulemust ei näidata, hoidke toiming avatuna või taotlege järgmist sammu, selle asemel et sulgeda, kuna fail on lisatud.

Salvestage erandid peamise tulemuse kõrvale. Hilinenud tegevus, lahendamata tõlgendus või tarnijasõltuvus võivad olla juhtkonna otsuse tegemisel olulised. Nende nähtavana hoidmine toetab planeerimist ja vastutust. Nende eemaldamine kirjest puhtama protsendi saamiseks muudab aruande vähem kasulikuks just siis, kui organisatsioon seda vajab.

Aadress tarnija ja kliendi sõltuvused

Vaadake üle oma teenuse need osad, mis sõltuvad teisest organisatsioonist. Tehke kindlaks teenus, vastutus, leping ja teave, mida intsidendi ajal vajatakse. Tarnija sertifikaat võib olla asjakohane, kuid see ei vasta igale küsimusele konkreetse teenuse kohta, mida teie ettevõte kasutab. Kontrollige seost ja teie ulatuse kohta kehtivaid tõendeid.

Kliendid võivad lepingutega kehtestada turvatingimusi isegi siis, kui konkreetne kohustuslik salastatus ei kehti teie ettevõtte kohta. Registreerige need lepingulised nõuded juriidilistest kohustustest eraldi. See hoiab allika ja arvustaja selged ning takistab kliendiküsimustiku esitamist õigusaktidena.

Sünteetilise harjutuse jaoks looge üks tarnija küsimus koos omaniku ja eeldatava vastusega. Hoidke see konkreetne: milline kontakttee ja vastutus kehtivad hallatavat teenust mõjutava juhtumi korral? Ärge saatke küsimust tõelisele tarnijale demonstratsiooni raames. Näidet saab täiendada väljamõeldud dokumentidega ja üle vaadata esitatud kriteeriumi alusel.

Hoidke CRA ja organisatsiooni turvahinnangud eraldi

IT-teenuse pakkuja võib välja töötada ka toote, mis vajab CRA kohaldamisala hindamist. See küsimus puudutab toodet, levitamist ja asjakohaseid digitaalseid elemente, sealhulgas kaugandmete töötlemise tingimusi. KSC/NIS2 puudutab kohaldatavat organisatsioonilist ja teenuse konteksti. Hoidke hinnangud lingitud, kui need on kasulikud, kuid säilitage nende erinevad alused.

See on oluline, kui klient esitab ühe laiaulatusliku küsimuse “kübervastavuse kohta”. Vastuses tuleks kindlaks teha, millist toodet või üksust hinnatakse ja milline seadus seda nõuet sätestab. Tööriist, mis salvestab mõlemat kirjet, ei muuda üht hinnangut teisele vastuseks. Määrake arvustus kellelegi, kes oskab konkreetset ulatust hinnata.

Kui ettevõte muutub, vaadake dokumente uuesti. Uus hallatav teenus, omandamine, tootekomponent või oluline tegevusmuudatus võib muuta varasemad eeldused vanaks. Andke hindamisele ülevaatuse käivitaja, selle asemel, et käsitleda salvestatud kontrolli tulemust püsiva vabastuse või sertifikaadina.

Kasutage Pulsari ühe tervikliku töö kontrollimiseks

Pulsar GRC avalik pakkumine kirjeldab nõudeid, riske, kontrolle, tegevusi, dokumente ja tõendeid koos vastutuse ja ülevaate ajalooga. Alustage prooviversiooni ülaltoodud sünteetilise nõude ja toiminguga. Kasutage praegust liidest ja mooduli juhendeid; menüüde nimed võivad muutuda, seega on oluline kontrollida salvestatud seoseid ja sellest tulenevat kirjet.

Pärast salvestamist avage nõue, lingitud toiming ja tõendid. Kontrollige omanikku, tähtaega, allikat ja versiooni. Laske volitatud isikul saadaoleva protsessi alusel tulemus üle vaadata. Kui kirje jääb mustandiks või ootab kinnitamist, säilitage see olek. Materjali ettevalmistamine ei aktiveeri nõuet ega lõpeta ülevaatust automaatselt.

Lõpetage aruande lugemisega või eksportige saadaolevas ulatuses. Kas juhtkond näeb avatud tõlgendust, lõpetatud proovi ja lahendamata tarnija küsimust? Kasulik katsetus annab kontrollitava killukese tööst. See ei esita kohustuslikku registreeringut, ei ühenda organisatsiooni S46-ga ega anna õiguslikku arvamust.

Tehke versioonipõhine otsus kuus kuud hiljem kasutatavaks

Looge sünteetilise harjutuse jaoks lihtne tõendite indeks. Lisage hindamiseks kasutatud ettevõtte kirjeldus, allikasäte, hindamise tulemus, läbivaatamise otsus ja tegevusdokumendid. Iga üksus vajab kuupäeva ja versiooni või muud tunnust, mis võimaldab kolleegil seda varasemast mustandist eristada. Ärge pange registrisse iga töötavat eksemplari, näitamata, milline neist otsust toetab.

Kasutage indeksit, et vastata konkreetsele haldusküsimusele: miks me selle toimingu määrasime ja milline teave oli selle määramise ajal saadaval? Hilisem menetluse läbivaatamine ei tohiks seda alust kustutada. Kui organisatsioon muudab oma teenindusmudelit, registreerige uus hinnang ja siduge see varasema järeldusega. Ajalugu selgitab, mis muutus, selle asemel, et jätta kaks seletamatut vastuolulist vastust.

Spetsialisti tõlgendust vajava allika puhul säilitage küsimus ja kvalifitseeritud ülevaade. Tööriistaga loodud kokkuvõte võib aidata materjali asukohta leida, kuid see ei saa vaikselt asendada allikat ega arvustaja arutluskäiku. Kui kokkuvõte ja allikas erinevad, parandage kokkuvõtet ja fikseerige otsus, mida kasutate. Tõendite register peaks aitama järgmisel ülevaatajal seda lahknevust tuvastada ilma tervet postkasti otsimata.

Korraldage lühike eskalatsiooniproov

Valige väljamõeldud juhtum, mis mõjutab hallatavat teenust väljaspool tavapärast tööaega. Harjutus algab sünteetilise teatega ja lõpeb sisemise otsuse protokolliga. Nimetage teatise saanud isik, asendaja, tehniline uurija ja isik, kes vaatab läbi mis tahes aruandlusküsimuse. Kasutage organisatsiooni kehtivat protseduuri, et otsustada, millist teavet tuleb koguda.

Pange kirja aeg, millal iga inimene saab treeninguteabe. Kontrollige, kas kontakttee ka tegelikult asendajani jõuab ja kas otsustaja suudab kinnitatud protseduuri leida. Hoidke tehnilised järeldused aruandluskohustust käsitlevast juriidilisest otsusest eraldi. Selle otsuse tegemiseks vajalikud faktid võivad alguses olla puudulikud, mis on iseenesest kasulik järeldus.

Ärge saatke harjutusteatist ametiasutusele või tõelisele kliendile. Märgistage dokumendid sünteetiliselt ja hoidke neid operatsioonijuhtumitest eraldi. Määrake proovi käigus avastatud lüngad toiminguteks nende enda omaniku ja kriteeriumiga. Harjutuse kordamine on kasulik, kui kontrollitakse, kas konkreetne lünk on lahendatud; kordamine pelgalt rohelise valmimisprotsendi loomiseks annab vähe juurde.

Enne harjutuse sulgemist lugege juhtkonna seisukohta

Paluge retsensendil tuvastada olemasolevate dokumentide hulgast hilinenud seadusest tulenev küsimus, protseduuriline lünk ja lõpetatud proov. Aruanne peaks nende erinevad olekud nähtavaks tegema. Lõpetatud koolitustegevus ei kao lahendamata registreerimisküsimust ja üleslaaditud tarnija dokument ei tõenda, et selle teenuse ulatus vastab teie esitatud küsimusele.

Kontrollige, kes aruannet näevad ja mis juhtub selle eksportimisel. Jagage ainult saaja rolliga õigustatud ulatust. Kui organisatsioon annab kliendile tunnistust, otsustage, millist teavet saab avaldada ja millist teavet on vaja minimeerida. Ekspordi tehniline võimalus ei ole põhjus, miks igale kliendile esitada kõik turva- või intsidentide andmed.

Tehke ostuotsus tulemuse põhjal

Registreerige suhete loomiseks, tõendite ülevaatamiseks ja ülejäänud töö leidmiseks vajalik pingutus. Paluge kolleegil leida otsuse alus, ilma et autor juhinduks. Kui see inimene oskab selgitada omanikku, allikat ja järgmist tegevust, on harjutus teie meeskonna jaoks midagi kasulikku testinud.

14-päevane Pulsari prooviversioon nõuab makseviisi. Enne kinnitamist vaadake üle praegune pakett, prooviperioodi järgne hind, esimene tasu ja tühistamise tingimused. Kasutage algharjutusel väljamõeldud või sobivalt minimeeritud kirjeid. Viige õiguslik hindamine ja seadusega ettenähtud toimingud läbi vastutavate inimeste ja ametlike kanalite kaudu, samal ajal kui Pulsar korraldab teie poolt valitud tööd ja tõendeid.

Hüpoteetilised näited. Stsenaariumid ja tulemused selgitavad töövoogu; need ei ole kliendi auditiaruanne ega garanteeritud tulemus. Funktsioonide ulatuse, CrewShifti töövoogude ja teenusetingimuste kohta vaata kehtivat pakkumist.

Alusta enesehindamist, ootamata individuaalset teadet. Mõned üksused kantakse registrisse ameti algatusel ja asutused võivad konkreetsete sätete alusel teha määramisotsuseid. Poola muudetud riikliku küberturvalisuse süsteemi seadus ehk KSC seadus kehtib alates 3. aprillist 2026 (Poola ametlik väljaanne 2026, nr 252) ning paneb kogu kohaldumise hindamise ettevõtte õlule: sina määrad, kas kuulud kohaldamisalasse, ja esitad ise KSC registrisse kandmise taotluse. Üksustele, mis vastasid kriteeriumidele muudatuse jõustumise päeval, on tähtaeg 3. oktoober 2026.

Ettevõtted ei jäta seda korda arvestamata niivõrd seaduse eiramise tõttu. Nad jätavad selle arvestamata, sest vaatasid sektorite loendit, ei leidnud end sealt ja sulgesid toimiku — samal ajal sisaldab seadus veel nelja teed kohaldamisalasse. Allpool on need teed ja kohustused, mida sektorite loendist ei näe.

See artikkel korrastab tegevuslikku tööd ega määra ühegi konkreetse organisatsiooni õiguslikku staatust. Kui mõni küsimus on tõepoolest vaieldav, ütlen seda, selle asemel et luua näilist kindlust.

1. Enesehindamine ei saa teadet oodata

KSC registrisse kandmine on deklaratiivne. Staatus tuleneb seaduses sätestatud kriteeriumidele vastamisest, mitte registreerimisest — kande puudumine ei vii sind seaduse kohaldamisalast välja, vaid tähendab selle rikkumist, kusjuures kõik muud kohustused kehtivad endiselt.

Mehhanism on lihtne ega jäta eksimisruumi. Hindad oma staatust ise ja esitad taotluse S46 süsteemi kaudu, tuvastades end kvalifitseeritud e-allkirja, Poola usaldusprofiili või e-ID-kaardiga. Kanne jõustub taotluse esitamise hetkel (artikkel 7d) — ükski asutus ei pea seda andma. Taotluses valeandmete esitamine toob kaasa kriminaalvastutuse, mistõttu pealiskaudse hindamise hind ulatub haldustrahvist palju kaugemale.

Tähtaeg kulgeb teisiti, kui enamik allikaid väidab. 3. oktoober 2026 kehtib üksustele, mis vastasid kriteeriumidele 3. aprillil 2026. Artikli 7c lõige 1 annab kuus kuud kriteeriumidele vastamise päevast. Kui ületad lävendi novembris, saabub sinu tähtaeg individuaalselt arvestatuna mais 2027. Omandamine, uus teenuseliin, käibe kasv: igaüks käivitab oma tähtaja ja keegi ei tuleta seda meelde.

On ka teine, vastassuunas kulgev tee. Artikli 7a lõikes 2 loetletud rühmade puhul toimub registrisse kandmine ameti algatusel vastavate registrite või otsuste põhjal. Artikkel 7b reguleerib teavitamist ja andmete täiendamist. Ameti algatusel kandmine ei tähenda iseenesest, et üksus oli varem kohustust rikkunud; kontrolli kohaldatavat alust ja oma tähtaega.

2. Lävendid arvutatakse kogu grupi lõikes

Hinda suurust töötajate arvu, käibe ja bilansimahu järgi. Väikeettevõttel on alla 50 töötaja ning käive või bilansimaht kuni 10 miljonit eurot. Ainult käibe ületamine ei määra kategooriat, kui alternatiivne bilansimahu kriteerium on täidetud. Kontrolli ka aruandeperioodide reegleid.

Põhiküsimus asub mujal. Seadus viitab komisjoni määruse (EL) nr 651/2014 I lisale, mis nõuab partner- ja seotud ettevõtete andmete lisamist. 32 töötajaga ettevõte, millest 60% kuulub 400 töötajaga emaettevõttele, ei ole koondandmete põhjal väikeettevõte. Selles näites tuleb ettevõtete seosed läbi arvutada. Kontrolli artikli 5 lõigete 6–7 erandeid sõltumatute infosüsteemide või selliste teenuste kohta, mida ei osutata ühiselt.

Tervishoiuüksustel, mis ei ole ettevõtted, on oma jaotus: artikli 5 lõige 8 määrab olulise üksuse piiriks 50–249 töötajat ja elutähtsa üksuse piiriks vähemalt 250 töötajat. Selles sektoris võib üldreegel eksitada.

Kategooria kontrollimiseks kasuta Euroopa Komisjoni VKE määratlust ja enesehindamise tööriista. Vaata tulemus üle oma grupi andmete ja Poola seaduse põhjal.

3. Mõnikord ei ole suurusel tähtsust

Artikli 5 lõike 1 punkt 4 loetleb elutähtsad üksused sõltumata töötajate arvust ja käibest: DNS-teenuse osutajad, kvalifitseeritud usaldusteenuse osutajad, direktiivi 2022/2557 tähenduses kriitilise tähtsusega üksused, 1. lisas nimetatud avaliku sektori üksused ja tuumarajatiste käitajad. Tippdomeeniregistritel ja domeeniregistraatoritel on 3a peatüki eraldi kohustused; üksnes domeenide registreerimine ei tekita elutähtsa üksuse staatust.

Poola IT-turgu valusalt puudutav punkt asub kohe kõrval. Hallatud turbeteenuse osutaja on elutähtis üksus alates väikeettevõtte lävendist (artikli 5 lõike 1 punkt 3) — ligikaudu kümnest töötajast. See kord on rangem kui keskmise suurusega tehasele kohaldatav kord: nii ennetav kui ka reageeriv järelevalve, kohustuslik audit ja infoturbe juhtimissüsteemi täielik ulatus. Ettevõtted, kes müüvad teistele nõuetele vastavust, on ise sellest tugevamini mõjutatud kui nende kliendid, ning paljud ei ole seda veel märganud.

Ka sinu arvutus ei ole viimane sõna. Artikli 7l lõige 1 lubab asutusel määrata elutähtsaks või oluliseks ettevõtte, mis lävendeid ei täida, kui teenus on ainulaadne või selle katkemisel oleks olulised tagajärjed.

Ja vastukaal, et keegi põhjuseta ei ehmuks: kui oled mikroettevõte väljaspool neid loetletud kategooriaid ja mõlemat lisa, ei kuulu sa seaduse kohaldamisalasse. Kuues jaotis kirjeldab sinu tegelikku probleemi.

4. Pead kontrollima oma inimeste karistusandmeid

Artikkel 8f nõuab kontrollimist, et küberturvalisuse ülesandeid täitvaid inimesi ei ole karistatud teabe kaitse vastaste süütegude eest. Tõend pärineb Poola riiklikust karistusregistrist. Kohustus langeb personaliosakonnale, mitte IT-le — just seetõttu jääb see IT-tarnija juhitud tüüpilise rakendamise puhul kõrvale. NIS2 direktiivis endas samaväärset nõuet ei ole; see on Poola lisandus.

See hõlmab süsteemiadministraatoreid, intsidentide käsitlejaid, määratud CSIRT-kontaktisikuid ja infoturbe juhtimissüsteemi siseaudiitoreid. Samuti üksuse juhti, kui ta täidab isiklikult artikli 8 ülesandeid.

Kõige teravam osa on see, et kohustus ei piirdu töölepingutega. B2B-lepingupartnerile või tsiviilõigusliku lepingu alusel töötavale inimesele, kes täidab artikli 8 või artikli 11 ülesandeid, kehtivad samad nõuded nagu töötajale. Kui sinu SOC koosneb kolmest välisest lepingupartnerist, vastutad kontrolli ja selle dokumenteerimise eest sina — see muudab lepingutingimusi, mitte ainult värbamisprotseduuri.

Siin on oht, millele osutan ja mille jätan juristi lahendada. Kandidaatide ja lepingupartnerite karistusandmete kogumine põrkub Poola tööseadustiku ja GDPR-iga. Seadus annab õigusliku aluse, kuid tõendite kogumise ulatus, ajastus ja säilitamisaeg tuleb igas organisatsioonis läbi lahendada. Lepi see õigusnõustajaga kokku enne kandidaadile esimese küsimuse saatmist.

See kõlab paberitööna. Karistusandmete kontrollimata jätmine on üks üksuse juhile isikliku trahvi määramise alustest.

5. Üksuse juht vastutab isiklikult

Elutähtsa või olulise üksuse juht vastutab küberturvalisuse kohustuste täitmise eest ka siis, kui ta on need delegeerinud. Mitmeliikmelise juhtorgani puhul vastutab iga liige, kui vastutavat isikut ei ole määratud.

Trahv on isiklik ja ulatub eraüksuses 300%-ni ning avalikus üksuses 100%-ni kuutasust (artikli 73a lõiked 4 ja 5). Asutus võib minna rahast kaugemale: peatada või piirata litsentse ja lube, peatada üksuse tegevuse ning rakendada seaduses määratletud olukordades juhtimisfunktsioone mõjutavaid meetmeid. Iga meetme ulatus ja tingimused nõuavad eraldi õiguslikku hinnangut.

Selle kõrval on koolituskohustus. Üksuse juht ja nende ülesannetega volitatud inimene läbivad koolituse kord aastas ning osalemine tuleb dokumenteerida (artikkel 8e). Ükski leping IT-tarnijaga ei anna seda kohustust üle. Riskijuhtimismeetmete heakskiitmine, nende eelarvestamine ja delegeeritud ülesannete järelevalve jäävad juhtkonnale.

6. Lepinguline ahel jõuab ka seaduse kohaldamisalast välja jäävate ettevõteteni

Kohaldamisalasse kuuluvad üksused peavad oma infoturbe juhtimissüsteemis käsitlema tarnijariski — hindama IKT toodete, teenuste ja protsesside tarnijate turvapraktikaid, nende tarnete kvaliteeti ja haavatavuste käsitlemist (artikli 8 lõike 1 punkti 2 alapunkt e ja artikli 8 lõige 2). Hindamine hõlmab otseseid tarnijaid ning põhjendatud juhtudel alltöövõtjaid.

Praktikas kandub see kohustus ahelas edasi. Ettevõte, mida seadus otseselt ei puuduta, saab kliendilt turvaküsimustiku, küberturvalisuse ja konfidentsiaalsuse lepingutingimused ning auditiõiguse. Need ei tulene seadusest, vaid lepingust — seadusjärgse tähtaja asemel tuleb äriline tähtaeg, mis on neist kahest raskem.

Tarnija poolel lahendavad selle kolm asja: kuupäeva ja heakskiitjaga enesehindamise märge, hõlmatud sektorites tegutsevate klientide loend ning nende lepingute turvatingimuste ülevaatus. Ettevõte, kellel need olemas on, vastab küsimustikule nädalase töö asemel tunniga.

7. ISO 27001 ei lõpeta teemat

Sertifikaat katab olulise osa infoturbe juhtimise nõuetest, kuid ei asenda mitut seadusele omast asja: enesehindamine ja KSC registrisse kandmine, pädevale CSIRT-ile intsidentidest teatamise kord 24 tunni, 72 tunni ja ühe kuu järjestuses (artikkel 11), vähemalt kahe kontaktisiku määramine (artikkel 9) ning eraldi küberturvalisuse audit.

Tarneahela hindamisel on seadus selgelt nõudlikum kui standardi kontrollmeetmete komplekt. Elutähtis üksus teeb auditi oma kulul ja esitab aruande asutusele kolme tööpäeva jooksul.

Rakendamise tähtajad on järgmised: S46 süsteemiga liitumine ja uute kohustuste rakendamine 3. aprilliks 2027, esimene kohustuslik küberturvalisuse audit elutähtsatele üksustele, mis varem ei olnud elutähtsate teenuste osutajad, 3. aprilliks 2028 ning järgmised auditid vähemalt kord kolme aasta jooksul.

8. Vastupidine lõks: kaks vaikset aastat

Muutmisseaduse artikkel 35 sätestab, et rahalisi karistusi võib esimest korda määrata kahe aasta möödumisel jõustumise kuupäevast — seega pärast 3. aprilli 2028.

Säte puudutab selles nimetatud karistusi. See ei lükka edasi enesehindamise, registreerimise ega rakendamise kohustusi. Hoia alles tõendid, et iga kohustus täideti selle suhtes kehtivaks tähtajaks.

Seaduse staatuse ja tähtaegade kohta vaata ametlikku ELI kirjet ja ministeeriumi teateid. Seadusega seotud menetluste mõju nõuab ajakohast õiguslikku analüüsi; üksnes kavatsus seadust vaidlustada ei muuda nõuetele vastavuse tähtaega.

Kolm küsimust tänaseks

Kes vastutab siin enesehindamise eest ja millal ta selle heaks kiitis? Ilma nime ja kuupäevata ei ole enesehindamist, ainult oletus.

Kas arvutasime lävendid koos kapitaliseostega? Kui ettevõte kuulub gruppi, ei lahenda ainult tema enda arvude põhjal tehtud arvutus midagi.

Kas kontrollisime lävendita erandeid ja artikli 5 lõike 1 punkti 3? Eriti siis, kui müüd turbeteenuseid, registreerid domeene või osutad usaldusteenuseid.

Nende küsimuste arvutatud vastused koos kuupäevastatud tähtaegade ja kogutavate tõendite loendiga annab KSC/NIS2 kohaldumise kontroll. Vastused ei lahku brauserist ning tulemuse saad printida või brauseri printimisdialoogi kaudu PDF-ina salvestada, et saata see juhtkonnale või küsimustiku saatnud kliendile.

Kui hindamine näitab kontrollmeetme nõrkust, vii muudatus läbi CAPA koos tõhususe ülevaatusega. Dokumenteeri valmidus auditi tõendipaketiga, segamata organisatsiooni tõendeid litsentsitud standardite või õigusakti tekstiga.

Pulsar GRC säilitab seose allika, nõude, kontrollmeetme, riski, tegevuse ja tõendite vahel — tähtajaga kohustusest saab nõue koos ajastatud kontrollmeetme ja täitmise tõendiga. Õiguslik kvalifitseerimine ja riski aktsepteerimine jäävad organisatsioonile.

Keel ei määra kohaldatavat seadust

Eestikeelne juhend ei muuda Poola KSC-seadust Eesti õiguseks. Kui organisatsioon tegutseb Eestis või mitmes liikmesriigis, kontrolli vastava riigi NIS2 ülevõtmise reegleid ja pädeva asutuse juhiseid. ELi direktiiv 2022/2555 annab raamistiku, kuid kohaldumise otsus vajab tegevuse, suuruse, rolli ning võimalike erandite kontrolli. Üldine väide „kõik VKE-d kuuluvad NIS2 alla“ on vale.

Säilita enesehindamise juures kasutatud riik, allikate kontrollimise kuupäev ja hinnangu heakskiitja. Kui ettevõte lisab uue teenuse või muudab oma struktuuri, määra uus ülevaatus. Pulsar aitab otsust ja tegevusi korrastada; ta ei asenda kohaldumise õiguslikku hinnangut ega muuda enesehindamist ametlikuks registreerimiseks.

Kontrolli ühe meetme tegelikku toimimist

Vali tegevuskavast üks kontroll, näiteks varukoopia taastamise proov. Plaan ja varundustarkvara ekraan ei tõenda veel taastamise õnnestumist. Salvesta katse ulatus, kuupäev, kasutatud andmed, tulemus ja ülevaataja. Kui katse ebaõnnestub, määra paranduse vastutaja ning uus proov. Nii saab tegevuskava näidata tegelikku võimekust, ilma et organisatsioon peaks väitma kogu NIS2 vastavust ühe eduka kontrolli alusel.

Määra tegevuskava algandmete omanik

Enesehindamise vastused võivad olla eri osakondade hinnangud, mitte kontrollitud faktid. Näiteks IT teab varundamise seadistust, kuid protsessi omanik teab, milliseid andmeid on töö taastamiseks vaja. Koguge mõlema vaate olulised lähtefaktid enne otsust. Ühe tehnilise tööriista olemasolu ei näita automaatselt kogu talitluspidevuse võimekust.

Vastutaja peaks iga olulise vastuse puhul eristama tõendi ja lubaduse. „Taastamist prooviti“ vajab kuupäeva, ulatust ning tulemust. „Taastamist proovitakse“ on tegevusplaan. Kui need märgitakse sama valmisoleku alla, ei näe juhtkond puuduva kontrolli mehhanismi ja võib määrata vale prioriteedi.

Hinnake ka tarnija mõju. Kui tegevus sõltub teenusepakkuja vastusest või ligipääsust, kirjeldage sõltuvus. Kohaldumise ning lepinguliste nõuete hinnangut ei tohiks asendada väitega, et tarnija „vastutab turvalisuse eest“. Organisatsioon vajab oma rollile ja teenusele vastavat kontrolli.

Pilotis valige üks vastus ja paluge inimesel, kes selle ei koostanud, leida alus ning avatud töö. Ta peab mõistma riiklikku ulatust ja hinnangu piiranguid. See test kontrollib otsuse kasutatavust, mitte ei anna ametlikku kinnitust NIS2 vastavusele.

Vaadake tingimused üle ja alustage 14-päevast prooviperioodi

SaaS-i CRA: ulatus, vastutajaga tegevused ja tõendid

IoT komponentide haavatavused: tarnijad, otsused ja parandused

API ja MCP GRC-s: määrake juurdepääs enne süsteemide ühendamist