Akta Keselamatan Siber Belanda, Cyberbeveiligingswet, melaksanakan Arahan NIS2 Eropah. Ia mewajibkan organisasi yang menyediakan perkhidmatan penting atau penting dalam lapan belas sektor yang ditetapkan untuk mengambil langkah pengurusan risiko yang sesuai, melaporkan insiden penting dan mendaftar dengan kerajaan.
Asas undang-undang
Akta ini melaksanakan Arahan (EU) 2022/2555 dan mula berkuat kuasa pada 15 Ogos 2026, bersama-sama dengan Akta Daya Tahan Entiti Kritikal. Ia menjejaskan anggaran lapan ribu organisasi dalam sektor termasuk tenaga, air minuman, infrastruktur digital, penjagaan kesihatan, pengangkutan dan pentadbiran awam. Arahan ini mengenakan tugas pelaporan berperingkat: amaran awal dalam tempoh 24 jam selepas menyedarinya, pemberitahuan insiden yang lebih lengkap dalam tempoh 72 jam dan laporan akhir dalam tempoh satu bulan. Tidak seperti rejim sebelumnya, tiada lagi penetapan organisasi individu; sektor yang digabungkan dengan saiz perusahaan menentukan sama ada anda ditangkap. Ahli lembaga sendiri bertanggungjawab untuk meluluskan langkah-langkah tersebut dan mesti menjalani latihan.
Bagaimana ia berfungsi dalam praktik
Langkah pertama ialah penilaian kendiri: adakah organisasi anda termasuk dalam salah satu sektor, dan jika ya, adakah ia penting atau penting? Perbezaan itu terutamanya menentukan penyeliaan, yang bagi entiti penting boleh berlaku tanpa sebarang sebab tertentu. Tugas berhati-hati berikut: analisis risiko, pengendalian insiden, kesinambungan perniagaan, rantaian bekalan, kawalan akses dan penyulitan. Kewajipan rantaian bekalan menjangkau pembekal yang tidak terikat dengan Akta tersebut, kerana keperluan tersebut disampaikan melalui kontrak.
Di mana ia menjadi salah
Organisasi terlalu mudah menganggap bahawa ia berada di luar skop kerana ia bukan infrastruktur kritikal; senarai sektornya luas dan merangkumi pengurusan sisa, perkhidmatan pos, makanan dan penyedia digital. Kesilapan kedua ialah menganggap tugas pelaporan sebagai perkara IT, sedangkan tarikh akhir 24 jam hanya boleh dicapai dengan keputusan yang dipersetujui terlebih dahulu sehingga peringkat lembaga. Ketiga, penyerahan kepada pembekal secara amnya tidak ditangani dalam kontrak sedia ada.
Istilah berkaitan
Tugas pelaporan berjalan seiring dengan tugas untuk pelanggaran data peribadi , dengan tarikh akhir tersendiri dan pengawal selia yang berbeza, dan dimasukkan ke dalam perjanjian SaaS dan perjanjian pemprosesan data.
Bacaan lanjut
Lebih lanjut mengenai subjek ini: NIS2 di Belanda: Nasihat Undang-undang dan Langkah Perniagaan , NIS2 dan Akta Keselamatan Siber Belanda: apa yang perlu diketahui oleh organisasi anda.
Adakah anda ingin tahu sama ada Akta ini terpakai kepada anda dan apakah maksudnya? Peguam IT kami akan menjalankan penilaian bersama anda.
