Walidator UKSC/NIS2

UKSC i NIS2 trzeba oceniać nie tylko według branży i wielkości, ale także według realnego związku organizacji z Polską: miejsca prowadzenia działalności, świadczenia usług, obsługi klientów lub użytkowników oraz położenia jednostki odpowiedzialnej za cyberbezpieczeństwo. Przy działalności transgranicznej sam adres siedziby nie zawsze wystarcza do bezpiecznej kwalifikacji.

NIS2 i UKSC opierają się w dużej części na progu wielkości. Liczbę pracowników ustala się co do zasady jako liczbę rocznych jednostek pracy, czyli osób zatrudnionych w pełnym wymiarze przez cały rok, z odpowiednim przeliczeniem osób pracujących krócej albo w niepełnym wymiarze. Trzeba uwzględnić pracowników, osoby pracujące dla przedsiębiorstwa i podlegające mu jak pracownicy, właścicieli-kierowników oraz wspólników regularnie pracujących w przedsiębiorstwie. Co do zasady nie wlicza się praktykantów i studentów odbywających szkolenie zawodowe ani osób na urlopie macierzyńskim lub rodzicielskim. Przy podmiotach partnerskich i powiązanych trzeba dodatkowo sprawdzić, czy należy doliczyć część albo całość danych innych spółek z grupy. W razie wątpliwości można posiłkować się kwalifikatorem PARP (Polska Agencja Rozwoju Przedsiębiorczości): kwalifikator.parp.gov.pl.

To obszary o największym znaczeniu dla państwa, gospodarki i obywateli. Przy dużym podmiocie sektor kluczowy może prowadzić do statusu podmiotu kluczowego. Przy średnim podmiocie często pojawia się status podmiotu ważnego, chyba że zachodzi szczególna przesłanka kwalifikacji.

To sektory, które zwykle nie są traktowane tak rygorystycznie jak kluczowe, ale przy co najmniej średniej wielkości organizacji mogą prowadzić do statusu podmiotu ważnego i obowiązku wdrożenia środków organizacyjnych oraz technicznych.

Sama wielkość i sektor nie zawsze wystarczają. W NIS2 i UKSC występują kategorie, które mogą być oceniane odrębnie, np. dostawcy DNS, rejestry TLD, dostawcy usług zaufania, podmioty krytyczne lub organizacje o szczególnym znaczeniu dla usług publicznych.

Przy ustalaniu wielkości przedsiębiorstwa trzeba badać dane podmiotów partnerskich i powiązanych. Jednocześnie przy złożonych grupach ważne jest, czy systemy i usługi są faktycznie niezależne. To typowy punkt, który wymaga indywidualnej analizy.

UKSC/NIS2 to nie tylko formalny wpis do wykazu. W praktyce organy, kontrahenci i audytorzy będą patrzeć na zarządzanie ryzykiem, ciągłość działania, incydenty, dostawców ICT, szkolenia oraz dowody należytej staranności.