Hollanda Siber Güvenlik Yasası (Cyberbeveiligingswet), Avrupa NIS2 Direktifi'ni uygulamaktadır. Bu yasa, belirlenmiş on sekiz sektörde temel veya önemli bir hizmet sağlayan kuruluşların uygun risk yönetimi önlemleri almasını, önemli olayları bildirmesini ve hükümete kayıt yaptırmasını zorunlu kılmaktadır.
Yasal dayanak
Bu Kanun, (AB) 2022/2555 Direktifini uygulamaya koymakta ve Kritik Kuruluşların Dayanıklılığı Kanunu ile birlikte 15 Ağustos 2026 tarihinde yürürlüğe girmiştir. Enerji, içme suyu, dijital altyapı, sağlık, ulaşım ve kamu yönetimi dahil olmak üzere sektörlerde yaklaşık sekiz bin kuruluşu etkilemektedir. Direktif, kademeli bir raporlama yükümlülüğü getirmektedir: farkına varılmasından itibaren 24 saat içinde erken uyarı, 72 saat içinde daha kapsamlı bir olay bildirimi ve bir ay içinde nihai rapor. Önceki rejimin aksine, artık bireysel kuruluşlar belirlenmemektedir; sektör ve işletmenin büyüklüğü birlikte, kapsama girip girmediğinizi belirler. Yönetim kurulu üyeleri, önlemleri onaylamaktan sorumludur ve eğitimden geçmek zorundadır.
Pratikte nasıl çalışır
İlk adım öz değerlendirmedir: kuruluşunuz sektörlerden birine giriyor mu ve eğer giriyorsa, bu sektör temel veya önemli mi? Bu ayrım esas olarak denetimi belirler; temel kuruluşlar için denetim herhangi bir özel neden olmaksızın gerçekleştirilebilir. Ardından özen yükümlülüğü gelir: risk analizi, olay yönetimi, iş sürekliliği, tedarik zinciri, erişim kontrolü ve şifreleme. Tedarik zinciri yükümlülüğü, gereklilikler sözleşmeler yoluyla aktarıldığı için, Kanun kapsamına girmeyen tedarikçileri de kapsar.
İşlerin ters gittiği yer
Kuruluşlar, kritik altyapı olmadıkları gerekçesiyle kapsam dışında kaldıklarını çok kolay varsayıyorlar; sektör listesi geniş kapsamlı olup atık yönetimi, posta hizmetleri, gıda ve dijital sağlayıcıları da içermektedir. İkinci bir hata ise, 24 saatlik süreye ancak yönetim kurulu düzeyine kadar önceden kararlaştırılmış bir karar hattı ile ulaşılabildiği halde, raporlama yükümlülüğünün bir BT meselesi olarak ele alınmasıdır. Üçüncüsü, tedarikçilere aktarım genellikle mevcut sözleşmelerde ele alınmamaktadır.
İlgili terimler
Bildirim yükümlülüğü, kişisel veri ihlali bildirim yükümlülüğüyle paralel olarak işler , kendine ait bir son tarihi ve farklı bir düzenleyicisi vardır ve SaaS sözleşmesine ve veri işleme sözleşmesine dahil edilir.
Ek okuma
Bu konu hakkında daha fazla bilgi: Hollanda'da NIS2: Yasal Tavsiyeler ve İşletme Adımları , NIS2 ve Hollanda Siber Güvenlik Yasası: Kuruluşunuzun Bilmesi Gerekenler.
Bu yasanın sizin için geçerli olup olmadığını ve bunun ne anlama geldiğini öğrenmek ister misiniz? Bilişim hukuku avukatlarımız sizinle birlikte değerlendirmeyi gerçekleştiriyor.
