Tom Meevis tərəfindən, vəkil Law & More
Kibertəhlükəsizlik artıq sırf texniki məsələ deyil. Bu, həm də istənilən ölçüdə demək olar ki, hər bir təşkilata təsir edən hüquqi və idarəetmə məsələsidir.
Avropa NIS2 Direktivi və Hollandiya Kibertəhlükəsizlik Qanunu ilə rəqəmsal dayanıqlığa görə məsuliyyət qəti şəkildə idarəetmə şurasına keçir. Hollandiya Kibertəhlükəsizlik Qanunu 15 avqust 2026-cı ildə qüvvəyə minir. Buna görə də biznes sahibləri, direktorlar və uyğunluq üzrə məsul şəxslər qısa müddətdə aşağıdakıları müəyyən etməlidirlər:
- onların təşkilatının yeni qaydaların əhatə dairəsinə düşüb-düşməməsi;
- onlardan hansı öhdəliklər irəli gəlir;
- hansı tədbirlərin görülməsi tələb olunur;
- və təşkilatın bu öhdəlikləri necə yerinə yetirə biləcəyi.
Bu məqalədə NIS2 və Hollandiya Kibertəhlükəsizlik Qanununun əsas elementləri müəyyən edilir: əhatə dairəsi, qayğı vəzifəsi, bildiriş vəzifəsi, idarə heyətinin məsuliyyəti, icrası və təşkilatların hazırda ata biləcəyi addımlar.
NIS2 nədir?
NIS2, 2022/2555 saylı (AB) Direktivinin rəsmi təyinatıdır. O, ümumiyyətlə NIS1 adlandırılan ilk Avropa şəbəkə və informasiya təhlükəsizliyi direktivinin davamıdır.
Üzv dövlətlərdən NIS2-ni 17 oktyabr 2024-cü il tarixinə qədər milli qanunvericiliyə çevirmələri tələb olunurdu. 18 oktyabr 2024-cü il tarixindən etibarən NIS2 rəsmi olaraq əvvəlki direktivi əvəz etdi.
Onun məqsədi Avropa Birliyi daxilində kiberdayanıqlılıq səviyyəsini artırmaq və daha yaxşı uyğunlaşdırmaqdır. Bu, iki əsas xətt üzrə gedir. Birincisi, daha geniş əhatə dairəsi: NIS1-ə nisbətən qaydalara daha çox təşkilat daxildir. İkincisi, daha geniş alətlər dəsti və direktorlar üçün daha aydın məsuliyyətlərlə daha sərt nəzarət və daha sərt icra.
NIS1-in əsas xidmət operatorları ilə rəqəmsal xidmət təminatçıları arasında fərq qoyduğu halda, NIS2 əsas və vacib qurumlarla işləyir. Bu fərq sadəcə terminoloji deyil: digər şeylərlə yanaşı, nəzarətin intensivliyini və potensial cərimələrin səviyyəsini müəyyən edir.
NIS2-yə hansı təşkilatlar daxildir?
NIS2, yüksək kritik sektorlara və digər kritik sektorlara bölünmüş on səkkiz təyin olunmuş sektorda fəaliyyət göstərən təşkilatlara tətbiq olunur.
Yüksək kritik sektorlara enerji, nəqliyyat, bankçılıq, maliyyə bazarı infrastrukturu, səhiyyə, içməli su və tullantı suları, rəqəmsal infrastruktur, biznes istifadəçiləri üçün İKT xidmətlərinin idarə edilməsi, dövlət idarəçiliyi və kosmik sahələr daxildir.
Digər vacib sektorlara poçt və kuryer xidmətləri, tullantıların idarə olunması, kimyəvi maddələr, qida, istehsal, rəqəmsal təchizatçılar və tədqiqat müəssisələri daxildir.
Ölçü həddi
Bu sektorlar daxilində əsas qayda, təşkilatın orta və ya böyük müəssisə kimi təsnif edildiyi NIS2-yə daxil olmasıdır. Meyarlar ən azı 50 işçi və ya illik dövriyyə və ya balans hesabatının ümumi məbləğinin 10 milyon avrodan çox olmasıdır.
Bu əsas qaydanın istisnaları var. Müəyyən təşkilatlar, ölçüsündən asılı olmayaraq, əhatə dairəsinə daxildir, çünki onların xidmətləri xüsusilə vacib hesab olunur:
- ictimai elektron rabitə şəbəkələri və xidmətləri təminatçıları;
- etibarnamə xidmət təminatçıları;
- domen adının qeydiyyatı xidməti təminatçıları;
- üst səviyyəli domen adı reyestrləri;
- dövlət sektoru qurumları.
15 avqust 2026-cı il tarixindən etibarən yeni öhdəliklər Niderlanddakı 8,000-dən çox təşkilata şamil edilir. Bu, mövcud Şəbəkə və İnformasiya Sistemləri Təhlükəsizliyi Qanunu ilə əhatə olunan sayla müqayisədə xeyli artımdır.
Buna görə də, əvvəllər özlərini kritik bir sektorun bir hissəsi hesab etməyən təşkilatlar, o cümlədən orta ölçülü istehsalçılar, qida istehsalçıları, tədqiqat müəssisələri və rəqəmsal xidmət təminatçıları, təhdid altında qala bilərlər. Əhəmiyyətli olan odur ki, təşkilatlar özlərinin əhatə dairəsinə daxil olub-olmadıqlarını qiymətləndirməkdən məsuldurlar. Rəhbərdən bu barədə heç bir məktub gəlməyəcək.
Qayğıkeşlik borcu: hansı tədbirlər tələb olunur?
NIS2 və Hollandiya Kibertəhlükəsizlik Qanununun əsasını qayğıkeşlik təşkil edir. Əhəmiyyətli və vacib qurumlar şəbəkə və informasiya sistemlərinə qarşı riskləri idarə etmək üçün müvafiq və mütənasib texniki, əməliyyat və təşkilati tədbirlər görməlidirlər.
Qaydalar siyasətin istənilən halda müraciət etməli olduğu mövzuları müəyyən edir:
- risk təhlili və informasiya təhlükəsizliyi siyasəti;
- hadisələrin idarə olunması;
- biznesin davamlılığı, ehtiyat nüsxələrinin idarə edilməsi və fəlakətlərin aradan qaldırılması;
- təchizat zəncirinin təhlükəsizliyi;
- kiber gigiyena və işçi heyətinin təlimi;
- zəifliklərin idarə olunması siyasəti;
- çoxfaktorlu identifikasiya;
- təhlükəsiz rabitə;
- kriptoqrafiya;
- tədbirlərin effektivliyinin dövri qiymətləndirilməsi.
Tədbirlər təşkilatın ölçüsünə və faktiki olaraq məruz qaldığı risklərə mütənasib olmalıdır. Buna görə də, daha kiçik əhəmiyyətli bir qurumun yüksək riskli sektorda böyük bir vacib qurumla eyni tədbirləri görməsi lazım deyil.
Bu, qayğı vəzifəsini könüllü etmir. Təşkilatlar hansı riskləri müəyyən etdiklərini, hansı tədbirləri gördüklərini və bu tədbirlərin nə üçün uyğun olduğunu əsaslandıra bilməlidirlər. Nəzarət yalnız tədbirlərin özləri deyil, həm də onların ölçülməsi, qeydə alınması və vaxtaşırı qiymətləndirilməsi üsullarına tabedir.
Hadisədən sonra bildiriş vəzifəsi
Qayğı vəzifəsi ilə yanaşı, NIS2 əhəmiyyətli hadisələr üçün mərhələli bildiriş vəzifəsi tətbiq edir. Hadisənin xidmətlərin davamlılığına əhəmiyyətli dərəcədə təsir göstərdiyi və ya göstərə biləcəyi hallarda, aşağıdakı son tarixlər geniş şəkildə tətbiq olunur:
- 24 saat ərzində milli kompüter təhlükəsizliyi insidentlərinə cavab qrupu və ya səlahiyyətli orqana erkən xəbərdarlıq;
- 72 saat ərzində ciddilik və təsirin ilkin qiymətləndirilməsi ilə rəsmi bildiriş;
- ən geci bir ay ərzində hadisəni, onun ehtimal olunan əsas səbəbini, görülən tədbirləri və hər hansı transsərhəd təsirləri təsvir edən yekun hesabat.
Bu son tarixlər əvvəlcədən aydın prosedurların müəyyən edilməsini zəruri edir. Təşkilat hadisənin nə vaxt bildirilməli olduğunu, kimin bildirmək səlahiyyətinə malik olduğunu, hansı məlumatların mövcud olmalı olduğunu, kimin əlaqələndirdiyini və şuraya və nəzarətçiyə necə məlumat verildiyini bilməlidir.
Yalnız bir hadisə zamanı bildiriş prosesi qurmağa çalışan bir təşkilat, vaxtında və ya tam şəkildə hesabat verə bilməmək riski ilə üzləşir.
İdarə Heyətinin məsuliyyəti
NIS2-nin vacib elementlərindən biri də kiber risklərin idarə olunması məsuliyyətinin birbaşa idarəetmə şurasına həvalə edilməsidir. Şura təhlükəsizlik tədbirlərini təsdiqləməli, onların tətbiqinə nəzarət etməli, təşkilatın kiber risklərini qiymətləndirə bilməli və özü kifayət qədər təlim keçməlidir.
Buna görə də kibertəhlükəsizlik artıq yalnız İT şöbəsinin məsuliyyəti kimi qəbul edilə bilməz. Bu, müntəzəm qərar qəbuletmə və risklərin idarə edilməsinin bir hissəsi olmalı olan idarəetmə mövzusudur.
Direktiv həmçinin təşkilatın tələblərə əməl etmədiyi hallarda yüksək rəhbərliyin şəxsi məsuliyyətini də açıq şəkildə qeyd edir. Şuranın iştirakını müvafiq olaraq qeyd edin, məsələn, keçirilən təlimləri, şura qərarlarını, təsdiq edilmiş siyasəti, risk qiymətləndirmələrini, hesabatları və icraya nəzarəti sənədləşdirin.
Hollandiyanın tətbiqi
NIS2-nin Hollandiyada tətbiqi əhəmiyyətli dərəcədə gecikib. 17 oktyabr 2024-cü il tarixli köçürmə son tarixinə əməl olunmayıb.
8 iyul 2026-cı ildə Avropa Komissiyası Niderlandın İrlandiya, İspaniya və Fransa ilə birlikdə köçürülmə tədbirləri barədə məlumat vermədiyinə görə Avropa Birliyinin Ədalət Məhkəməsinə müraciət etməsi qərarına gəldi. Beləliklə, Niderland Avropa Birliyinin dörd geridə qalan ölkəsi arasında idi.
Vaxt təəccüblüdür. Bir gün əvvəl, 7 iyul 2026-cı ildə Senat Kibertəhlükəsizlik Qanununu və Kritik Qurumların Dayanıqlılığı Qanununu təsdiqləmişdi. Qanunun müraciət göndərilməzdən əvvəl qəbul edilməsinin məhkəmə prosesinin nəticəsinə təsir edib-etməməsi hələlik məlum deyil; bu, Məhkəmənin qərar verməsidir.
Hər iki Qanun 15 avqust 2026-cı ildə qüvvəyə minir. Kibertəhlükəsizlik Qanunu NIS2 Direktivini tətbiq edir; Kritik Qurumların Davamlılığı Qanunu isə kritik infrastrukturun dayanıqlığına yönəlmiş Avropa CER Direktivini tətbiq edir. Sonuncu ilə əhatə olunan təşkilatlar rəsmi olaraq 15 avqust 2026-cı il tarixindən etibarən kritik qurumlar kimi təyin olunacaqlar.
Qüvvəyə mindikdən sonra mövcud Şəbəkə və İnformasiya Sistemləri Təhlükəsizliyi Qanunu (Wbni) qüvvədən düşür. Artıq onun əhatə etdiyi təşkilatlar üçün bu, daha ağır öhdəliklər deməkdir; ilk dəfə əhatə dairəsinə daxil olan təşkilatlar üçün isə tamamilə yeni bir rejim.
NCSC-də qeydiyyat
Yeni vacib öhdəliklərdən biri Milli Kiber Təhlükəsizlik Mərkəzində qeydiyyatdır. Əhəmiyyətli və vacib qurumlar milli qurum reyestrinə daxil edilməlidir. Bu qeydiyyat 15 avqust 2026-cı il tarixindən etibarən məcburidir və adi təşkilatlar üçün eHerkenning və dövlət sektoru qurumları üçün SSOnRijk istifadə edərək MijnNCSC portalı vasitəsilə həyata keçirilir. Qeydiyyatdan keçmiş məlumatlarda dəyişikliklər on dörd gün ərzində bildirilməlidir.
Qeydiyyat sadəcə inzibati rəsmiyyət deyil. Qeydiyyatdan keçdikdən sonra təşkilatlar CSIRT-in xidmətlərinə qoşula bilərlər və bu xidmətlər hadisə baş verdikdə dayanıqlığı artırmaq, eləcə də dəstək vermək üçün məhsul və xidmətlər təqdim edir. Qeydiyyatı vaxtında hazırlayın ki, tətbiq yalnız qüvvəyə mindikdən sonra başlamasın.
Nəzarət və icra
Kibertəhlükəsizlik Qanunu fərqli nəzarət rejimini nəzərdə tutur. Əsas qurumlar proaktiv nəzarətə tabedir: nəzarətçi heç bir konkret hadisə və ya siqnal olmadan davamlı olaraq və öz təşəbbüsü ilə yoxlaya bilər. Əsas qurumlar reaktiv nəzarətə tabedir, burada nəzarətçi prinsipcə hadisəyə, şikayətə və ya digər konkret siqnala cavab olaraq hərəkət edir.
Nəzarət bir neçə orqan arasında bölünür. 15 avqust 2026-cı il tarixindən etibarən Hollandiyanın Rəqəmsal İnfrastruktur üzrə İdarəsi doqquz sektordakı təşkilatlara nəzarət edir; digər nəzarətçilər digər sektorlar üçün təyin olunur. Təşkilatınız üçün hansı nəzarətçinin səlahiyyətli olduğunu müəyyən edin.
İcra alətləri dəsti genişdir və aşağıdakıları əhatə edir:
- təhlükəsizlik yoxlaması və ya təhlükəsizlik auditi;
- məcburi təlimat;
- inzibati icra qərarı və ya cərimə tətbiq edilməli olan qərar;
- pozuntunun dərc edilməsi;
- inzibati cərimə;
- vacib qurumlar üçün: sertifikatlaşdırmanın, səlahiyyətin və ya idarə heyəti üzvünün fəaliyyətinin dayandırılması.
Əhəmiyyətli hüquqi şəxslər üçün maksimum cərimə ən azı 10 milyon avro və ya ümumi dünya miqyaslı illik dövriyyənin 2%-i (hansı daha yüksəkdirsə) təşkil edir. Əhəmiyyətli hüquqi şəxslər üçün isə ən azı 7 milyon avro və ya dünya miqyaslı illik dövriyyənin 1.4%-i (hansı daha yüksəkdirsə) təşkil edir. Son cərimə məbləği işin hallarından, o cümlədən pozuntunun təbiətindən, ağırlığından və müddətindən, günahkarlıq dərəcəsindən və görülən tədbirlərdən asılıdır.
Təşkilatınız indi nə edə bilər?
- Özünüqiymətləndirmə aparın. Təşkilatın müəyyən edilmiş sektorda fəaliyyət göstərib-göstərmədiyini və ölçü həddinə cavab verib-vermədiyini müəyyən edin.
- Düzgün kateqoriyanı müəyyən edin. Təşkilatın vacib və ya vacib bir qurum kimi uyğun olub-olmadığını və hansı rəhbərin səlahiyyətli olduğunu müəyyən edin.
- Qeydiyyatı hazırlayın. MijnNCSC vasitəsilə NCSC-də qeydiyyat üçün lazım olan məlumatları toplayın.
- Qayğıkeşlik tədbirlərini sınaqdan keçirin. Risk təhlili, hadisələrə cavab, biznesin davamlılığı, təchizat zəncirinin təhlükəsizliyi, kiber gigiyena, zəifliklər, çoxfaktorlu identifikasiya və kriptoqrafiya üzrə mövcud tədbirləri qiymətləndirin.
- Bildiriş prosesini qurun. Hadisənin bildirilməli olub-olmadığını kimin qiymətləndirdiyini, kimin xəbər verdiyini və 24 saatlıq, 72 saatlıq və bir aylıq son tarixlərə necə əməl olunduğunu qeyd edin.
- Şuranı nümayişkaranə şəkildə cəlb edin. Şuranın hansı qərarları qəbul etdiyini, hansı təlimlərin keçirildiyini və icraya nəzarətin necə həyata keçirildiyini qeyd edin.
- Təchizat zəncirini də daxil edin. Zəifliklərin böyük bir hissəsi təşkilatın özündə deyil, təchizatçılarda və xidmət təminatçılarında yaranır. Təhlükəsizlik tənzimləmələri, bildiriş vəzifələri və audit hüquqları ilə bağlı müqavilələrinizi nəzərdən keçirin.
Sonda
Kibertəhlükəsizlik Qanunu və Kritik Qurumların Dayanıqlılığı Qanunu kibertəhlükəsizlik öhdəliklərinin əhəmiyyətli dərəcədə sərtləşdirilməsini təmsil edir. Daha geniş əhatə dairəsi, konkret qayğı tədbirləri, sıx bildiriş müddətləri, direktorların şəxsi məsuliyyəti və əhəmiyyətli icra vasitələri təşkilatların bu mövzunu kənara qoymamasına səbəb olur. 15 avqust 2026-cı ildə qüvvəyə minməsi ilə hazırlıq vaxtı qısadır.
Law & More NIS2 və Hollandiyanın Kibertəhlükəsizlik Qanunu çərçivəsində mövqelərini müəyyənləşdirməkdə, qayğı tədbirlərini qurmaqda və sınaqdan keçirməkdə, NCSC-də qeydiyyatı hazırlamaqda və kibertəhlükəsizlik siyasətini qanuni şəkildə tətbiq etməkdə müəssisələrə, direktorlara və uyğunluq üzrə məsul şəxslərə kömək edir.
Yeni qaydalar çərçivəsində təşkilatınızın mövqeyinin qiymətləndirilməsini istərdinizmi? Heç bir öhdəlik olmadan müzakirə üçün bizimlə əlaqə saxlamaqdan çəkinməyin.
Tez-tez soruşulan suallar
Aşağıda bu mövzuda bizə ən çox verilən sualları cavablandırırıq.
Hollandiyanın Kibertəhlükəsizlik Qanunu nə vaxt qüvvəyə minir?
15 avqust 2026-cı ildə Senat Kibertəhlükəsizlik Qanununu və Kritik Qurumların Davamlılığı Qanununu 7 iyul 2026-cı ildə təsdiqlədi. Qüvvəyə mindikdən sonra mövcud Şəbəkə və İnformasiya Sistemlərinin Təhlükəsizliyi Qanunu (WbNI) qüvvədən düşür.
Təşkilatım NIS2-yə aiddirmi?
Bu, sektorunuzdan və ölçünüzdən asılıdır. NIS2 on səkkiz təyin olunmuş sektoru və bu sektorlar daxilində əsas qayda olaraq ən azı 50 işçisi olan və ya illik dövriyyəsi və ya balans hesabatı 10 milyon avrodan çox olan təşkilatları əhatə edir. Ölçüsündən asılı olmayaraq müəyyən tərəflər əhatə olunur.
Təşkilatım əhatə dairəsində olarsa, mənə xəbər veriləcəkmi?
Xeyr. Təşkilatlar Kibertəhlükəsizlik Qanununa uyğun olub-olmadıqlarını qiymətləndirməkdən özləri məsuldurlar. Gözləmə qiymətləndirmə aparılmazdan əvvəl tətbiq olunan öhdəliklərlə bağlı risklər yaradır.
Vacib bir varlıqla vacib bir varlıq arasındakı fərq nədir?
Bu, nəzarətin intensivliyini və potensial cərimələrin səviyyəsini müəyyən edir. Əsas müəssisələr proaktiv nəzarətə məruz qalır və burada nəzarətçi öz təşəbbüsü ilə yoxlaya bilər. Əsas müəssisələr hadisə, şikayət və ya digər siqnalla əlaqədar olaraq reaktiv nəzarətə məruz qalır.
Qayğıkeşlik vəzifəsi nəyi əhatə edir?
Şəbəkə və informasiya sistemləriniz üçün riskləri idarə etmək üçün müvafiq və mütənasib texniki, əməliyyat və təşkilati tədbirlərin görülməsi, o cümlədən risk təhlili, insidentlərin idarə olunması, biznesin davamlılığı, təchizat zəncirinin təhlükəsizliyi, kiber gigiyena, zəifliklər, çoxfaktorlu identifikasiya və kriptoqrafiya kimi məsələləri əhatə edir. Seçilmiş tədbirlərin nə üçün uyğun olduğunu əsaslandıra bilməlisiniz.
Hadisədən sonra hansı bildiriş müddətləri tətbiq olunur?
24 saat ərzində erkən xəbərdarlıq, 72 saat ərzində ciddilik və təsirin ilkin qiymətləndirilməsi ilə rəsmi bildiriş və ən geci bir ay ərzində yekun hesabat. Bildiriş prosesini əvvəlcədən qurun.
Təşkilatım qeydiyyatdan keçməlidirmi?
Bəli. Milli qurumların reyestrində qeydiyyat 15 avqust 2026-cı il tarixindən etibarən məcburidir və eHerkenning və ya dövlət sektoru qurumları üçün SSOnRijk vasitəsilə MijnNCSC vasitəsilə həyata keçirilir. Dəyişikliklər barədə on dörd gün ərzində məlumat verilməlidir. Qeydiyyatdan keçdikdən sonra CSIRT-inizin xidmətlərinə qoşula bilərsiniz.
İdarə heyətinin üzərinə hansı məsuliyyət düşür?
İdarə heyəti təhlükəsizlik tədbirlərini təsdiqləməli, onların tətbiqinə nəzarət etməli, kiber riskləri qiymətləndirə bilməli və özü təlim keçməlidir. Direktivdə yüksək rəhbərliyin uyğunsuzluğa görə şəxsi məsuliyyəti nəzərdə tutulur, ona görə də qərarları, təlimi və nəzarəti nümayişkaranə şəkildə qeyd edin.
Cərimələr nə qədər yüksəkdir?
Ən azı 10 milyon avro və ya dünya miqyaslı illik dövriyyənin 2%-i həcmində vacib müəssisələr üçün; ən azı 7 milyon avro və ya 1.4% həcmində vacib müəssisələr üçün hər bir halda hansı daha yüksəkdirsə, o. Son səviyyə pozuntunun təbiəti, ağırlığı və müddəti, eləcə də günahkarlıq dərəcəsi daxil olmaqla amillərdən asılıdır.
Uyğunluğa kim nəzarət edir?
Bu, sektorlara görə dəyişir. 15 avqust 2026-cı il tarixindən etibarən Hollandiyanın Rəqəmsal İnfrastruktur üzrə İdarəsi doqquz sektordakı təşkilatlara nəzarət edir; digər nəzarətçilər digər sektorlar üçün təyin olunur. Təşkilatınız üçün hansı nəzarətçinin səlahiyyətli olduğunu müəyyən edin.
Niderland niyə Ədalət Məhkəməsinə göndərilib?
NIS2-nin gec köçürülməsinə görə. 8 iyul 2026-cı ildə Avropa Komissiyası, köçürülmə tədbirləri barədə məlumat vermədiyinə görə İrlandiya, İspaniya və Fransa ilə birlikdə Niderlandın Ədalət Məhkəməsinə göndərilməsi qərarına gəldi. Kibertəhlükəsizlik Qanununun bir gün əvvəl qəbul edilməsi özü-özlüyündə bu proseslərə son qoymur.
Bu, təchizatçılarıma da aiddirmi?
Təchizat zəncirinin təhlükəsizliyi qayğı vəzifəsi mövzularından biridir. Zəifliklərin böyük bir hissəsi təchizatçılarda və xidmət təminatçılarında yaranır. Təhlükəsizlik tənzimləmələri, bildiriş vəzifələri və audit hüquqları ilə bağlı müqavilələrinizi nəzərdən keçirin.
