டாம் மீவிஸ், வழக்கறிஞர் Law & More
இணையப் பாதுகாப்பு என்பது இனி வெறும் தொழில்நுட்ப விஷயம் மட்டுமல்ல. அது, எந்த அளவிலான ஏறக்குறைய அனைத்து நிறுவனங்களையும் பாதிக்கும் ஒரு சட்ட மற்றும் நிர்வாகப் பிரச்சினையும் ஆகும்.
ஐரோப்பிய NIS2 நெறிமுறை மற்றும் டச்சு இணையப் பாதுகாப்புச் சட்டம் ஆகியவற்றின் மூலம், டிஜிட்டல் மீள்திறனுக்கான பொறுப்பு நிர்வாகக் குழுவிடம் உறுதியாக மாற்றப்படுகிறது. டச்சு இணையப் பாதுகாப்புச் சட்டம் 15 ஆகஸ்ட் 2026 அன்று அமலுக்கு வருகிறது. எனவே, வணிக உரிமையாளர்கள், இயக்குநர்கள் மற்றும் இணக்க அலுவலர்கள் குறுகிய கால அறிவிப்பில் பின்வருவனவற்றை நிறுவ வேண்டும்:
- அவர்களுடைய அமைப்பு புதிய விதிகளின் வரம்பிற்குள் வருகிறதா என்பது;
- அவற்றிலிருந்து எழும் கடமைகள் யாவை;
- என்னென்ன நடவடிக்கைகள் தேவைப்படுகின்றன;
- மற்றும் அந்த அமைப்பு அந்தக் கடமைகளை எவ்வாறு நிறைவேற்ற முடியும் என்பது குறித்தும்.
இந்தக் கட்டுரை NIS2 மற்றும் டச்சு இணையப் பாதுகாப்புச் சட்டத்தின் முக்கிய கூறுகளான அதன் வரம்பு, கவனக் கடமை, அறிவிக்கும் கடமை, நிர்வாகக் குழுவின் பொறுப்பு, அமலாக்கம் மற்றும் நிறுவனங்கள் தற்போது எடுக்கக்கூடிய நடவடிக்கைகள் ஆகியவற்றை விவரிக்கிறது.
NIS2 என்றால் என்ன?
NIS2 என்பது நெறிமுறை (EU) 2022/2555-இன் அதிகாரப்பூர்வப் பெயராகும். இது, பொதுவாக NIS1 எனக் குறிப்பிடப்படும் முதல் ஐரோப்பிய வலையமைப்பு மற்றும் தகவல் பாதுகாப்பு நெறிமுறைக்குப் பிறகு வந்துள்ளது.
உறுப்பு நாடுகள் 17 அக்டோபர் 2024-க்குள் NIS2-ஐ தேசிய சட்டத்தில் மாற்றியமைக்க வேண்டியிருந்தது. 18 அக்டோபர் 2024 முதல், NIS2 முந்தைய வழிகாட்டுதலுக்குப் பதிலாக முறையாக நடைமுறைக்கு வந்தது.
ஐரோப்பிய ஒன்றியத்திற்குள் இணையப் பாதுகாப்புத் திறனின் அளவை உயர்த்தி, அதைச் சிறப்பாகச் சீரமைப்பதே இதன் நோக்கமாகும். இது இரண்டு முக்கிய வழிகளில் செயல்படுகிறது. முதலாவதாக, ஒரு பரந்த நோக்கம்: NIS1-இன் கீழ் இருந்ததை விட அதிகமான நிறுவனங்கள் இந்த விதிகளின் கீழ் வருகின்றன. இரண்டாவதாக, இறுக்கப்பட்ட மேற்பார்வை மற்றும் கடுமையான அமலாக்கம், மேலும் விரிவான செயல்முறைக் கருவிகள் மற்றும் இயக்குநர்களுக்கான தெளிவான பொறுப்புகள்.
NIS1 அத்தியாவசிய சேவைகளின் இயக்குநர்களையும் டிஜிட்டல் சேவை வழங்குநர்களையும் வேறுபடுத்திக் காட்டிய நிலையில், NIS2 அத்தியாவசிய நிறுவனங்கள் மற்றும் முக்கியமான நிறுவனங்களுடன் செயல்படுகிறது. அந்த வேறுபாடு வெறும் சொல்லியல் சார்ந்தது மட்டுமல்ல: மற்றவற்றுடன், அது கண்காணிப்பின் தீவிரத்தையும் விதிக்கப்படக்கூடிய அபராதங்களின் அளவையும் தீர்மானிக்கிறது.
NIS2-இன் கீழ் எந்தெந்த நிறுவனங்கள் வருகின்றன?
NIS2 ஆனது, உயர் முக்கியத்துவம் வாய்ந்த துறைகள் மற்றும் பிற முக்கியத் துறைகள் எனப் பிரிக்கப்பட்ட, பதினெட்டு குறிப்பிட்ட துறைகளில் செயல்படும் நிறுவனங்களுக்குப் பொருந்தும்.
அதிக முக்கியத்துவம் வாய்ந்த துறைகளில் ஆற்றல், போக்குவரத்து, வங்கித்துறை, நிதிச் சந்தை உள்கட்டமைப்பு, சுகாதாரம், குடிநீர் மற்றும் கழிவுநீர், டிஜிட்டல் உள்கட்டமைப்பு, வணிகப் பயனர்களுக்கான தகவல் தொடர்பு தொழில்நுட்ப சேவை மேலாண்மை, பொது நிர்வாகம் மற்றும் விண்வெளி ஆகியவை அடங்கும்.
மற்ற முக்கியத் துறைகளில் அஞ்சல் மற்றும் கூரியர் சேவைகள், கழிவு மேலாண்மை, இரசாயனங்கள், உணவு, உற்பத்தி, டிஜிட்டல் சேவை வழங்குநர்கள் மற்றும் ஆராய்ச்சி நிறுவனங்கள் ஆகியவை அடங்கும்.
அளவு வரம்பு
இந்தத் துறைகளுக்குள் உள்ள முக்கிய விதி என்னவென்றால், ஒரு நிறுவனம் நடுத்தர அல்லது பெரிய நிறுவனமாகத் தகுதிபெறும் பட்சத்தில் அது NIS2-இன் கீழ் வருகிறது. இதற்கான அளவுகோல்கள், குறைந்தபட்சம் 50 பணியாளர்கள், அல்லது 10 மில்லியன் யூரோக்களுக்கு மேல் உள்ள ஆண்டு விற்றுமுதல் அல்லது இருப்புநிலைக் குறிப்பின் மொத்தம் ஆகும்.
இந்த முக்கிய விதிக்கு விதிவிலக்குகள் உள்ளன. சில நிறுவனங்களின் சேவைகள் மிகவும் முக்கியமானவையாகக் கருதப்படுவதால், அவற்றின் அளவைப் பொருட்படுத்தாமல் இந்த வரையறைக்குள் அவை வருகின்றன:
- பொது மின்னணுத் தகவல் தொடர்பு வலையமைப்புகள் மற்றும் சேவைகளை வழங்குபவர்கள்;
- சேவை வழங்குநர்களை நம்புங்கள்;
- டொமைன் பெயர் பதிவு சேவை வழங்குநர்கள்;
- உயர் மட்ட டொமைன் பெயர் பதிவகங்கள்;
- பொதுத்துறை அமைப்புகள்.
15 ஆகஸ்ட் 2026 முதல், நெதர்லாந்தில் உள்ள 8,000-க்கும் மேற்பட்ட நிறுவனங்களுக்கு இந்தப் புதிய கடமைகள் பொருந்தும். தற்போதைய பிணைய மற்றும் தகவல் அமைப்புகள் பாதுகாப்புச் சட்டத்தின் கீழ் உள்ள நிறுவனங்களின் எண்ணிக்கையுடன் ஒப்பிடும்போது, இது ஒரு கணிசமான விரிவாக்கமாகும்.
எனவே, இதற்கு முன்னர் தங்களை ஒரு முக்கியத் துறையின் பகுதியாகக் கருதாத நடுத்தர உற்பத்தியாளர்கள், உணவு உற்பத்தியாளர்கள், ஆராய்ச்சி நிறுவனங்கள் மற்றும் டிஜிட்டல் சேவை வழங்குநர்கள் போன்ற நிறுவனங்கள் இதில் சிக்கிக்கொள்ளக்கூடும். முக்கியமாக, தாங்கள் இந்த வரையறைக்குள் வருகிறோமா என்பதை மதிப்பிடுவதற்கு அந்த நிறுவனங்களே பொறுப்பாகும். அவ்வாறு கூறுவதாக மேற்பார்வையாளரிடமிருந்து எந்தக் கடிதமும் அவர்களுக்கு வராது.
பாதுகாப்புப் பொறுப்பு: என்னென்ன நடவடிக்கைகள் தேவைப்படுகின்றன?
NIS2 மற்றும் டச்சு இணையப் பாதுகாப்புச் சட்டத்தின் மையக்கருத்து, கவனக் கடமையாகும். அத்தியாவசிய மற்றும் முக்கியமான நிறுவனங்கள், தங்களின் வலையமைப்பு மற்றும் தகவல் அமைப்புகளுக்கு ஏற்படும் இடர்களை நிர்வகிப்பதற்காக, பொருத்தமான மற்றும் விகிதாசாரமான தொழில்நுட்ப, செயல்பாட்டு மற்றும் நிறுவன ரீதியான நடவடிக்கைகளை மேற்கொள்ள வேண்டும்.
கொள்கை எந்தச் சூழ்நிலையிலும் கையாள வேண்டிய விடயங்களை விதிகள் அடையாளம் காட்டுகின்றன:
- இடர் பகுப்பாய்வு மற்றும் தகவல் பாதுகாப்பு கொள்கை;
- சம்பவங்களைக் கையாளுதல்;
- வணிகத் தொடர்ச்சி, காப்பு மேலாண்மை மற்றும் பேரிடர் மீட்பு;
- விநியோகச் சங்கிலிப் பாதுகாப்பு;
- இணையவழி சுகாதாரப் பாதுகாப்பு மற்றும் பணியாளர் பயிற்சி;
- பாதுகாப்பு குறைபாடுகளைக் கையாளும் கொள்கை;
- பல காரணி அங்கீகாரம்;
- பாதுகாப்பான தகவல்தொடர்புகள்;
- குறியாக்கவியல்;
- நடவடிக்கைகளின் செயல்திறன் குறித்த காலமுறை மதிப்பீடு.
இந்த நடவடிக்கைகள், நிறுவனத்தின் அளவுக்கும் அது உண்மையில் எதிர்கொள்ளும் அபாயங்களுக்கும் ஏற்றதாக இருக்க வேண்டும். எனவே, அதிக அபாயம் உள்ள ஒரு துறையில், ஒரு சிறிய முக்கிய நிறுவனம், ஒரு பெரிய அத்தியாவசிய நிறுவனம் எடுக்கும் அதே நடவடிக்கைகளை எடுக்க வேண்டிய அவசியமில்லை.
அதனால் கவனக் கடமை என்பது விருப்பத்திற்குரியதாகிவிடாது. நிறுவனங்கள் தாங்கள் கண்டறிந்த இடர்கள் யாவை, தாங்கள் எடுத்த நடவடிக்கைகள் யாவை, மற்றும் அந்த நடவடிக்கைகள் ஏன் பொருத்தமானவை என்பனவற்றை நிரூபிக்கக் கூடியவையாக இருக்க வேண்டும். அந்த நடவடிக்கைகள் மட்டுமல்லாமல், அவை மதிப்பிடப்படும், பதிவு செய்யப்படும் மற்றும் குறிப்பிட்ட கால இடைவெளியில் மதிப்பீடு செய்யப்படும் விதமும் மேற்பார்வைக்கு உட்பட்டது.
ஒரு சம்பவத்திற்குப் பிறகு அறிவிப்புப் பணி
கவனக் கடமையுடன் சேர்த்து, NIS2 குறிப்பிடத்தக்க சம்பவங்களுக்குப் படிப்படியான அறிவிப்புக் கடமையையும் விதிக்கிறது. ஒரு சம்பவம் சேவைகளின் தொடர்ச்சியில் கணிசமான தாக்கத்தை ஏற்படுத்தியிருந்தாலோ அல்லது ஏற்படுத்தக்கூடும் என்றாலோ, பின்வரும் காலக்கெடுக்கள் பரந்த அளவில் பொருந்தும்:
- 24 மணி நேரத்திற்குள், தேசிய கணினிப் பாதுகாப்பு சம்பவ பதிலளிப்புக் குழுவுக்கோ அல்லது தகுந்த அதிகார அமைப்புக்கோ முன்கூட்டியே எச்சரிக்கை விடுக்கப்பட வேண்டும்;
- 72 மணி நேரத்திற்குள், பாதிப்பின் தீவிரம் மற்றும் தாக்கம் குறித்த ஆரம்பகட்ட மதிப்பீட்டுடன் கூடிய முறையான அறிவிப்பு;
- அதிகபட்சம் ஒரு மாதத்திற்குள், சம்பவம், அதன் சாத்தியமான மூலக் காரணம், எடுக்கப்பட்ட நடவடிக்கைகள் மற்றும் ஏதேனும் எல்லை தாண்டிய விளைவுகள் ஆகியவற்றை விவரிக்கும் ஒரு இறுதி அறிக்கை.
இந்தக் காலக்கெடுக்கள், தெளிவான நடைமுறைகளை முன்கூட்டியே அமைப்பதை அவசியமாக்குகின்றன. ஒரு சம்பவம் எப்போது அறிவிக்கப்பட வேண்டும், யார் அறிவிக்க அதிகாரம் பெற்றவர், என்னென்ன தகவல்கள் கிடைக்கப்பெற வேண்டும், யார் ஒருங்கிணைக்கிறார், மேலும் நிர்வாகக் குழுவிற்கும் மேற்பார்வையாளருக்கும் எவ்வாறு தகவல் தெரிவிக்கப்படுகிறது என்பதை அந்த அமைப்பு அறிந்திருக்க வேண்டும்.
ஒரு சம்பவம் நிகழும்போது மட்டும் அறிவிப்புச் செயல்முறையை அமைக்க முயற்சிக்கும் ஓர் அமைப்பு, சரியான நேரத்தில் அல்லது முழுமையாக அறிக்கை அளிக்க முடியாமல் போகும் கணிசமான அபாயத்தை எதிர்கொள்கிறது.
வாரியப் பொறுப்பு
NIS2-இன் ஒரு முக்கிய அம்சம் என்னவென்றால், இணையவழி அபாயங்களை நிர்வகிக்கும் பொறுப்பு நிர்வாகக் குழுவிடம் வெளிப்படையாக ஒப்படைக்கப்பட்டுள்ளது. அந்தக் குழு பாதுகாப்பு நடவடிக்கைகளுக்கு ஒப்புதல் அளிக்க வேண்டும், அவற்றின் செயலாக்கத்தை மேற்பார்வையிட வேண்டும், நிறுவனத்தின் இணையவழி அபாயங்களை மதிப்பிடும் திறன் கொண்டிருக்க வேண்டும், மேலும் அதுவே போதுமான பயிற்சியையும் பெற வேண்டும்.
எனவே, இணையப் பாதுகாப்பை இனி தகவல் தொழில்நுட்பத் துறையின் பொறுப்பாக மட்டும் கருத முடியாது. இது வழக்கமான முடிவெடுத்தல் மற்றும் இடர் மேலாண்மையின் ஒரு பகுதியாக அமைய வேண்டிய ஒரு நிர்வாகத் தலைப்பாகும்.
நிறுவனம் இணங்கத் தவறும் பட்சத்தில், உயர் நிர்வாகத்தின் தனிப்பட்ட பொறுப்பு குறித்தும் இந்த வழிகாட்டுதல் வெளிப்படையாகக் குறிப்பிடுகிறது. அதற்கேற்ப வாரியத்தின் ஈடுபாட்டைப் பதிவு செய்யுங்கள்; உதாரணமாக, மேற்கொள்ளப்பட்ட பயிற்சிகள், வாரிய முடிவுகள், அங்கீகரிக்கப்பட்ட கொள்கை, இடர் மதிப்பீடுகள், அறிக்கையிடல் மற்றும் செயலாக்கத்தின் மீதான மேற்பார்வை ஆகியவற்றை ஆவணப்படுத்துவதன் மூலம் இதைச் செய்யலாம்.
டச்சு அமலாக்கம்
NIS2-ஐ டச்சு நாட்டில் நடைமுறைப்படுத்துவதில் கணிசமான தாமதம் ஏற்பட்டுள்ளது. 17 அக்டோபர் 2024 என்ற சட்டமாக்கல் காலக்கெடு பூர்த்தி செய்யப்படவில்லை.
2026 ஜூலை 8 அன்று, சட்டமாக்கல் நடவடிக்கைகளை அறிவிக்கத் தவறியதற்காக, நெதர்லாந்தை அயர்லாந்து, ஸ்பெயின் மற்றும் பிரான்சுடன் சேர்த்து ஐரோப்பிய ஒன்றியத்தின் நீதி மன்றத்திற்குப் பரிந்துரைக்க ஐரோப்பிய ஆணையம் முடிவு செய்தது. இதனால், நெதர்லாந்து ஐரோப்பிய ஒன்றியத்தின் நான்கு பின்தங்கிய நாடுகளில் ஒன்றாக ஆனது.
இந்தச் செயல் நடந்த நேரம் கவனத்தை ஈர்க்கிறது. இதற்கு ஒரு நாள் முன்னதாக, 2026 ஜூலை 7 அன்று, செனட் சபை இணையப் பாதுகாப்புச் சட்டம் மற்றும் முக்கிய நிறுவனங்களின் மீள்திறன் சட்டம் ஆகியவற்றை அங்கீகரித்திருந்தது. பரிந்துரை அனுப்பப்படுவதற்கு முன்பே இந்தச் சட்டம் நிறைவேற்றப்பட்டது என்பது, இந்த நடவடிக்கைகளின் முடிவைப் பாதிக்குமா என்பதைப் பொறுத்திருந்துதான் பார்க்க வேண்டும்; அதை நீதிமன்றம்தான் தீர்மானிக்க வேண்டும்.
இரு சட்டங்களும் 15 ஆகஸ்ட் 2026 அன்று அமலுக்கு வருகின்றன. இணையப் பாதுகாப்புச் சட்டம் NIS2 நெறிமுறையைச் செயல்படுத்துகிறது; முக்கிய நிறுவனங்களின் மீள்திறன் சட்டம், முக்கிய உள்கட்டமைப்பின் மீள்திறனை நோக்கமாகக் கொண்ட ஐரோப்பிய CER நெறிமுறையைச் செயல்படுத்துகிறது. பிந்தைய சட்டத்தின் கீழ் வரும் நிறுவனங்கள் 15 ஆகஸ்ட் 2026 முதல் முறையாக முக்கிய நிறுவனங்களாக நியமிக்கப்படும்.
இது நடைமுறைக்கு வரும்போது, தற்போதைய பிணைய மற்றும் தகவல் அமைப்புகள் பாதுகாப்புச் சட்டம் (WBNI) காலாவதியாகிவிடும். ஏற்கனவே இந்தச் சட்டத்தின் கீழ் வரும் நிறுவனங்களுக்கு இது மேலும் கடுமையான கடமைகளை ஏற்படுத்தும்; முதல் முறையாக இதன் வரம்பிற்குள் வரும் நிறுவனங்களுக்கு, இது முற்றிலும் ஒரு புதிய சட்ட அமைப்பாகும்.
NCSC-இல் பதிவு செய்தல்
தேசிய இணையப் பாதுகாப்பு மையத்தில் பதிவு செய்வது ஒரு முக்கியமான புதிய கடமையாகும். அத்தியாவசிய மற்றும் முக்கியமான நிறுவனங்கள் தேசிய நிறுவனப் பதிவேட்டில் உள்ளிடப்பட வேண்டும். அந்தப் பதிவு 15 ஆகஸ்ட் 2026 முதல் கட்டாயமாக்கப்பட்டுள்ளது. இது MijnNCSC இணையதளம் வழியாக, சாதாரண நிறுவனங்களுக்கு eHerkenning முறையையும், பொதுத்துறை அமைப்புகளுக்கு SSOnRijk முறையையும் பயன்படுத்தி மேற்கொள்ளப்படுகிறது. பதிவுசெய்யப்பட்ட தரவுகளில் செய்யப்படும் மாற்றங்கள் பதினான்கு நாட்களுக்குள் தெரிவிக்கப்பட வேண்டும்.
பதிவு என்பது வெறும் நிர்வாக சம்பிரதாயம் மட்டுமல்ல. பதிவு செய்தவுடன், நிறுவனங்கள் தங்களின் CSIRT-இன் சேவைகளுடன் இணைந்துகொள்ள முடியும். இந்த CSIRT, மீள்திறனை அதிகரிப்பதற்கான தயாரிப்புகளையும் சேவைகளையும் வழங்குவதோடு, ஒரு அசம்பாவிதம் ஏற்படும் பட்சத்தில் ஆதரவையும் அளிக்கிறது. பதிவை உரிய நேரத்தில் தயார் செய்யுங்கள், அப்போதுதான் சட்டம் அமலுக்கு வந்த பிறகு மட்டும் அமலாக்கம் தொடங்காது.
மேற்பார்வை மற்றும் அமலாக்கம்
இணையப் பாதுகாப்புச் சட்டம் ஒரு வேறுபட்ட மேற்பார்வை முறையை வழங்குகிறது. அத்தியாவசிய நிறுவனங்கள் முன்கூட்டிய மேற்பார்வைக்கு உட்பட்டவை: எந்தவொரு குறிப்பிட்ட சம்பவமோ அல்லது அறிகுறியோ இல்லாமலேயே, மேற்பார்வையாளர் தொடர்ச்சியாகவும் தனது சொந்த முன்முயற்சியிலும் சரிபார்க்கலாம். முக்கிய நிறுவனங்கள் எதிர்வினை மேற்பார்வைக்கு உட்பட்டவை; இதில், கொள்கையளவில் மேற்பார்வையாளர் ஒரு சம்பவம், ஒரு புகார் அல்லது மற்றொரு உறுதியான அறிகுறிக்குப் பதிலளிக்கும் விதமாகச் செயல்படுகிறார்.
மேற்பார்வையானது பல அதிகார அமைப்புகளிடையே பிரிக்கப்பட்டுள்ளது. 15 ஆகஸ்ட் 2026 முதல், டச்சு டிஜிட்டல் உள்கட்டமைப்பு ஆணையம் ஒன்பது துறைகளில் உள்ள நிறுவனங்களை மேற்பார்வையிடுகிறது; மற்ற துறைகளுக்கு வேறு மேற்பார்வையாளர்கள் நியமிக்கப்பட்டுள்ளனர். உங்கள் நிறுவனத்திற்கு எந்த மேற்பார்வையாளர் தகுதியானவர் என்பதை உறுதிப்படுத்திக் கொள்ளுங்கள்.
அமலாக்கக் கருவித்தொகுப்பு விரிவானது மற்றும் பின்வருவனவற்றை உள்ளடக்கியுள்ளது:
- பாதுகாப்பு ஆய்வு அல்லது பாதுகாப்புத் தணிக்கை;
- கட்டுப்படுத்தும் அறிவுறுத்தல்;
- நிர்வாக அமலாக்க உத்தரவு அல்லது அபராதம் செலுத்த வேண்டிய உத்தரவு;
- மீறல் குறித்த வெளியீடு;
- ஒரு நிர்வாக அபராதம்;
- அத்தியாவசிய நிறுவனங்களுக்கு: ஒரு சான்றிதழ், ஓர் அங்கீகாரம் அல்லது ஓர் இயக்குநர் குழு உறுப்பினரின் தற்காலிகப் பணிநீக்கம்.
அத்தியாவசிய நிறுவனங்களுக்கு அதிகபட்ச அபராதம் குறைந்தபட்சம் 10 மில்லியன் யூரோக்கள் அல்லது மொத்த உலகளாவிய ஆண்டு வருவாயில் 2%, இவற்றில் எது அதிகமோ அதுவாகும். முக்கிய நிறுவனங்களுக்கு இது குறைந்தபட்சம் 7 மில்லியன் யூரோக்கள் அல்லது உலகளாவிய ஆண்டு வருவாயில் 1.4%, இவற்றில் எது அதிகமோ அதுவாகும். இறுதி அபராதத் தொகையானது, மீறலின் தன்மை, தீவிரம் மற்றும் கால அளவு, குற்றத்தின் அளவு மற்றும் எடுக்கப்பட்ட நடவடிக்கைகள் உள்ளிட்ட வழக்கின் சூழ்நிலைகளைப் பொறுத்து அமையும்.
உங்கள் அமைப்பு இப்போது என்ன செய்ய முடியும்?
- சுய மதிப்பீடு ஒன்றை மேற்கொள்ளுங்கள். அந்த அமைப்பு, குறிப்பிடப்பட்ட துறையில் செயல்படுகிறதா என்பதையும், நிர்ணயிக்கப்பட்ட அளவு வரம்பைப் பூர்த்தி செய்கிறதா என்பதையும் உறுதிப்படுத்திக் கொள்ளுங்கள்.
- சரியான வகையைத் தீர்மானிக்கவும். அந்த அமைப்பு ஒரு அத்தியாவசியமான அல்லது முக்கியமான நிறுவனமாகத் தகுதிபெறுகிறதா என்பதையும், எந்த மேற்பார்வையாளர் திறமையானவர் என்பதையும் உறுதிப்படுத்தவும்.
- பதிவைத் தயார் செய்யவும். MijnNCSC வழியாக NCSC-இல் பதிவு செய்வதற்குத் தேவையான தரவுகளைச் சேகரிக்கவும்.
- பாதுகாப்புப் பொறுப்பு நடவடிக்கைகளைச் சோதிக்கவும். இடர் பகுப்பாய்வு, சம்பவப் பதிலளிப்பு, வணிகத் தொடர்ச்சி, விநியோகச் சங்கிலிப் பாதுகாப்பு, இணைய சுகாதார நடவடிக்கைகள், பாதுகாப்புக் குறைபாடுகள், பன்முகக் காரணி அங்கீகாரம் மற்றும் குறியாக்கவியல் ஆகியவற்றில் தற்போதுள்ள நடவடிக்கைகளை மதிப்பிடவும்.
- அறிவிப்புச் செயல்முறையை அமைக்கவும். ஒரு சம்பவம் அறிவிக்கப்பட வேண்டுமா என்பதை யார் மதிப்பிடுகிறார்கள், யார் அறிவிக்கிறார்கள், மேலும் 24 மணிநேரம், 72 மணிநேரம் மற்றும் ஒரு மாத காலக்கெடு எவ்வாறு பூர்த்தி செய்யப்படுகின்றன என்பதைப் பதிவு செய்யவும்.
- இயக்குநர் குழுவை வெளிப்படையாக ஈடுபடுத்துங்கள். இயக்குநர் குழு எடுத்த முடிவுகள், மேற்கொள்ளப்பட்ட பயிற்சிகள் மற்றும் செயலாக்கத்தின் மீதான மேற்பார்வை எவ்வாறு மேற்கொள்ளப்படுகிறது என்பனவற்றைப் பதிவு செய்யுங்கள்.
- விநியோகச் சங்கிலியையும் உள்ளடக்கவும். பாதிப்புக் குறைபாடுகளின் பெரும் பகுதி நிறுவனத்திற்குள்ளேயே ஏற்படுவதில்லை, மாறாக விநியோகஸ்தர்கள் மற்றும் சேவை வழங்குநர்களிடமே எழுகிறது. பாதுகாப்பு ஏற்பாடுகள், அறிவிப்புக் கடமைகள் மற்றும் தணிக்கை உரிமைகள் தொடர்பான உங்கள் ஒப்பந்தங்களை மதிப்பாய்வு செய்யவும்.
மூடுவதில்
சைபர் பாதுகாப்புச் சட்டம் மற்றும் முக்கிய நிறுவனங்களின் மீள்திறன் சட்டம் ஆகியவை சைபர் பாதுகாப்பு கடமைகளை கணிசமாகக் கடுமையாக்குகின்றன. விரிவான நோக்கம், உறுதியான கவனக் கடமை நடவடிக்கைகள், இறுக்கமான அறிவிப்பு காலக்கெடு, இயக்குநர்களுக்கான தனிப்பட்ட பொறுப்பு மற்றும் கணிசமான அமலாக்கக் கருவித்தொகுப்பு ஆகியவை நிறுவனங்கள் இந்தத் தலைப்பை ஒதுக்கி வைக்க முடியாது என்பதைக் குறிக்கின்றன. 15 ஆகஸ்ட் 2026 அன்று இது நடைமுறைக்கு வருவதால், தயாரிப்பு நேரம் குறைவாகவே உள்ளது.
Law & More வணிகங்கள், இயக்குநர்கள் மற்றும் இணக்க அதிகாரிகளுக்கு NIS2 மற்றும் டச்சு இணையப் பாதுகாப்புச் சட்டத்தின் கீழ் அவர்களின் நிலையைத் தீர்மானிப்பதற்கும், கவனக் கடமை நடவடிக்கைகளை அமைத்துச் சோதிப்பதற்கும், NCSC-இல் பதிவைத் தயாரிப்பதற்கும், மற்றும் இணையப் பாதுகாப்புக் கொள்கையைச் சட்டப்பூர்வமாக உட்பொதிப்பதற்கும் உதவுகிறது.
புதிய விதிகளின் கீழ் உங்கள் நிறுவனத்தின் நிலை குறித்து மதிப்பீடு செய்ய விரும்புகிறீர்களா? எந்தவிதக் கடப்பாடும் இல்லாத கலந்துரையாடலுக்கு எங்களைத் தயங்காமல் தொடர்பு கொள்ளுங்கள்.
அடிக்கடி கேட்கப்படும் கேள்விகள்
இப்பொருள் தொடர்பாக எங்களிடம் அடிக்கடி கேட்கப்படும் கேள்விகளுக்குக் கீழே பதிலளிக்கிறோம்.
டச்சு இணையப் பாதுகாப்புச் சட்டம் எப்போது அமலுக்கு வருகிறது?
15 ஆகஸ்ட் 2026 அன்று. செனட் சபை 7 ஜூலை 2026 அன்று இணையப் பாதுகாப்புச் சட்டம் மற்றும் முக்கிய நிறுவனங்களின் மீள்திறன் சட்டம் ஆகியவற்றை அங்கீகரித்தது. இவை நடைமுறைக்கு வந்தவுடன், தற்போதைய வலையமைப்பு மற்றும் தகவல் அமைப்புகள் பாதுகாப்புச் சட்டம் (WBNI) காலாவதியாகிவிடும்.
எனது நிறுவனம் NIS2-இன் கீழ் வருகிறதா?
அது உங்கள் துறை மற்றும் அளவைப் பொறுத்தது. NIS2, பதினெட்டு குறிப்பிட்ட துறைகளை உள்ளடக்கியது. மேலும், அந்தத் துறைகளுக்குள், ஒரு முக்கிய விதியாக, குறைந்தது 50 பணியாளர்களைக் கொண்ட அல்லது 10 மில்லியன் யூரோக்களுக்கு மேல் ஆண்டு விற்றுமுதல் அல்லது இருப்புநிலைக் குறிப்பின் மொத்த மதிப்பைக் கொண்ட நிறுவனங்கள் இதில் அடங்கும். சில தரப்பினர், அவர்களின் அளவைப் பொருட்படுத்தாமல் உள்ளடக்கப்படுகிறார்கள்.
எனது நிறுவனம் இந்த வரம்பிற்குள் வந்தால் எனக்குத் தெரிவிக்கப்படுமா?
இல்லை. தாங்கள் இணையப் பாதுகாப்புச் சட்டத்தின் கீழ் வருகிறார்களா என்பதை மதிப்பிடுவது நிறுவனங்களின் பொறுப்பாகும். தாமதித்தால், அந்த மதிப்பீடு செய்யப்படுவதற்கு முன்பே கடமைகள் அமலுக்கு வரும் அபாயம் உள்ளது.
அத்தியாவசியமான மற்றும் முக்கியமான ஒரு பொருளுக்கு இடையே உள்ள வேறுபாடு என்ன?
இது மேற்பார்வையின் தீவிரத்தையும் விதிக்கப்படக்கூடிய அபராதங்களின் அளவையும் தீர்மானிக்கிறது. அத்தியாவசிய நிறுவனங்கள் முன்கூட்டிய மேற்பார்வைக்கு உட்பட்டவை, இதில் மேற்பார்வையாளர் தனது சொந்த முன்முயற்சியில் சரிபார்க்கலாம். முக்கியமான நிறுவனங்கள் ஒரு சம்பவம், புகார் அல்லது பிற சமிக்ஞையால் தூண்டப்படும் எதிர்வினை மேற்பார்வைக்கு உட்பட்டவை.
பாதுகாப்புப் பொறுப்பு என்பது எதை உள்ளடக்கியது?
உங்கள் பிணையம் மற்றும் தகவல் அமைப்புகளுக்கு ஏற்படும் இடர்களை நிர்வகிப்பதற்காக, இடர் பகுப்பாய்வு, சம்பவங்களைக் கையாளுதல், வணிகத் தொடர்ச்சி, விநியோகச் சங்கிலிப் பாதுகாப்பு, இணைய சுகாதார நடைமுறைகள், பாதுகாப்புக் குறைபாடுகள், பன் காரணி அங்கீகாரம் மற்றும் குறியாக்கவியல் போன்ற விடயங்களை உள்ளடக்கிய, பொருத்தமான மற்றும் விகிதாசாரமான தொழில்நுட்ப, செயல்பாட்டு மற்றும் நிறுவன ரீதியான நடவடிக்கைகளை மேற்கொள்ளுதல். தேர்ந்தெடுக்கப்பட்ட நடவடிக்கைகள் ஏன் பொருத்தமானவை என்பதை உங்களால் நிரூபிக்க இயல வேண்டும்.
ஒரு சம்பவம் நடந்த பிறகு, அறிவிப்பதற்கான காலக்கெடு என்ன?
24 மணி நேரத்திற்குள் ஒரு முன்கூட்டிய எச்சரிக்கை, 72 மணி நேரத்திற்குள் பாதிப்பின் தீவிரம் மற்றும் தாக்கம் குறித்த ஆரம்ப மதிப்பீட்டுடன் கூடிய முறையான அறிவிப்பு, மற்றும் அதிகபட்சமாக ஒரு மாதத்திற்குள் ஒரு இறுதி அறிக்கை. அறிவிப்புச் செயல்முறையை முன்கூட்டியே அமைத்துக் கொள்ளுங்கள்.
எனது அமைப்பு பதிவு செய்ய வேண்டுமா?
ஆம். 15 ஆகஸ்ட் 2026 முதல் தேசிய நிறுவனப் பதிவேட்டில் பதிவு செய்வது கட்டாயமாகும். இந்தப் பதிவு, MijnNCSC மூலமாக, eHerkenning அல்லது பொதுத்துறை நிறுவனங்களுக்கு SSOnRijk ஆகியவற்றைப் பயன்படுத்தி மேற்கொள்ளப்படுகிறது. மாற்றங்கள் பதினான்கு நாட்களுக்குள் தெரிவிக்கப்பட வேண்டும். பதிவுசெய்தவுடன், உங்கள் CSIRT-இன் சேவைகளுடன் நீங்கள் இணைந்துகொள்ளலாம்.
வாரியத்தின் பொறுப்பு என்ன?
வாரியம் பாதுகாப்பு நடவடிக்கைகளுக்கு ஒப்புதல் அளிக்க வேண்டும், அவற்றின் செயலாக்கத்தை மேற்பார்வையிட வேண்டும், இணையவழி அபாயங்களை மதிப்பிடும் திறன் கொண்டிருக்க வேண்டும், மேலும் அதுவே பயிற்சியையும் மேற்கொள்ள வேண்டும். இந்த வழிகாட்டுதல், இணங்காத பட்சத்தில் உயர் நிர்வாகத்தின் தனிப்பட்ட பொறுப்பைக் குறிப்பிடுகிறது, எனவே முடிவுகள், பயிற்சி மற்றும் மேற்பார்வை ஆகியவற்றைத் தெளிவாகப் பதிவு செய்யவும்.
அபராதங்கள் எவ்வளவு அதிகமாக உள்ளன?
அத்தியாவசிய நிறுவனங்களுக்குக் குறைந்தபட்சம் 10 மில்லியன் யூரோக்கள் அல்லது உலகளாவிய ஆண்டு வருவாயில் 2%; முக்கிய நிறுவனங்களுக்குக் குறைந்தபட்சம் 7 மில்லியன் யூரோக்கள் அல்லது 1.4%, இவ்விரண்டில் எது அதிகமோ அது விதிக்கப்படும். இறுதியான அபராதத் தொகையானது, மீறலின் தன்மை, தீவிரம், கால அளவு மற்றும் குற்றத்தின் அளவு உள்ளிட்ட காரணிகளைப் பொறுத்து அமையும்.
விதிமுறைகளுக்கு இணங்குவதை யார் மேற்பார்வையிடுகிறார்?
அது துறைக்குத் துறை மாறுபடும். 15 ஆகஸ்ட் 2026 முதல், டச்சு டிஜிட்டல் உள்கட்டமைப்பு ஆணையம் ஒன்பது துறைகளில் உள்ள நிறுவனங்களை மேற்பார்வையிடுகிறது; மற்ற துறைகளுக்கு வேறு மேற்பார்வையாளர்கள் நியமிக்கப்பட்டுள்ளனர். உங்கள் நிறுவனத்திற்கு எந்த மேற்பார்வையாளர் தகுதியானவர் என்பதை உறுதிப்படுத்திக் கொள்ளுங்கள்.
நெதர்லாந்து ஏன் ஐரோப்பிய ஒன்றிய நீதிமன்றத்திற்குப் பரிந்துரைக்கப்பட்டுள்ளது?
NIS2 சட்டத்தை தாமதமாகச் சட்டமாக்கியதற்காக, 8 ஜூலை 2026 அன்று, சட்டமாக்கல் நடவடிக்கைகளை அறிவிக்கத் தவறியதற்காக, நெதர்லாந்தை அயர்லாந்து, ஸ்பெயின் மற்றும் பிரான்சுடன் சேர்த்து ஐரோப்பிய ஒன்றிய நீதிமன்றத்திற்குப் பரிந்துரைக்க ஐரோப்பிய ஆணையம் முடிவு செய்தது. இணையப் பாதுகாப்புச் சட்டம் ஒரு நாள் முன்னதாகவே ஏற்றுக்கொள்ளப்பட்டது என்பது மட்டுமே அந்த நடவடிக்கைகளை முடிவுக்குக் கொண்டுவராது.
இது எனது விநியோகஸ்தர்களுக்கும் பொருந்துமா?
விநியோகச் சங்கிலிப் பாதுகாப்பு என்பது கடமைப் பொறுப்புகளில் ஒன்றாகும். பாதிப்புக்குள்ளாகும் தன்மைகளில் பெரும் பகுதி விநியோகஸ்தர்கள் மற்றும் சேவை வழங்குநர்களிடமே எழுகின்றன. பாதுகாப்பு ஏற்பாடுகள், அறிவிப்புக் கடமைகள் மற்றும் தணிக்கை உரிமைகள் தொடர்பான உங்கள் ஒப்பந்தங்களை மதிப்பாய்வு செய்யுங்கள்.
