डच साइबर सुरक्षा अधिनियम (एनआईएस2)

डच साइबर सुरक्षा अधिनियम, साइबरबेवेइलिगिंग्सवेट, यूरोपीय एनआईएस2 निर्देश का कार्यान्वयन करता है। इसके अंतर्गत अठारह निर्दिष्ट क्षेत्रों में आवश्यक या महत्वपूर्ण सेवाएं प्रदान करने वाले संगठनों को उचित जोखिम प्रबंधन उपाय करने, महत्वपूर्ण घटनाओं की रिपोर्ट करने और सरकार के साथ पंजीकरण करने की आवश्यकता होती है।

कानूनी आधार

यह अधिनियम निर्देश (ईयू) 2022/2555 को लागू करता है और महत्वपूर्ण संस्थाओं के लचीलेपन अधिनियम के साथ 15 अगस्त 2026 को प्रभावी हुआ। यह ऊर्जा, पेयजल, डिजिटल अवसंरचना, स्वास्थ्य सेवा, परिवहन और सार्वजनिक प्रशासन सहित विभिन्न क्षेत्रों में लगभग आठ हजार संगठनों को प्रभावित करता है। निर्देश में एक स्तरीय रिपोर्टिंग दायित्व निर्धारित किया गया है: घटना की जानकारी मिलने के 24 घंटों के भीतर प्रारंभिक चेतावनी, 72 घंटों के भीतर घटना की पूरी सूचना और एक महीने के भीतर अंतिम रिपोर्ट। पिछली व्यवस्था के विपरीत, अब व्यक्तिगत संगठनों को नामित नहीं किया गया है; क्षेत्र और उद्यम के आकार के आधार पर यह निर्धारित किया जाता है कि आप इसके दायरे में आते हैं या नहीं। बोर्ड के सदस्य स्वयं उपायों को मंजूरी देने के लिए जिम्मेदार हैं और उन्हें प्रशिक्षण प्राप्त करना होगा।

यह व्यवहार में कैसे काम करता है

पहला कदम स्व-मूल्यांकन है: क्या आपका संगठन किसी एक क्षेत्र के अंतर्गत आता है, और यदि हां, तो क्या यह आवश्यक या महत्वपूर्ण है? यही अंतर मुख्य रूप से पर्यवेक्षण को निर्धारित करता है, जो आवश्यक संस्थाओं के लिए बिना किसी विशेष कारण के भी हो सकता है। इसके बाद देखभाल का कर्तव्य आता है: जोखिम विश्लेषण, घटना प्रबंधन, व्यवसाय निरंतरता, आपूर्ति श्रृंखला, पहुंच नियंत्रण और एन्क्रिप्शन। आपूर्ति श्रृंखला का दायित्व उन आपूर्तिकर्ताओं तक भी पहुंचता है जो स्वयं अधिनियम के दायरे में नहीं आते, क्योंकि आवश्यकताएं अनुबंधों के माध्यम से उन तक पहुंचाई जाती हैं।

गलती कहाँ होती है?

संगठन अक्सर यह मान लेते हैं कि वे महत्वपूर्ण बुनियादी ढांचे का हिस्सा नहीं हैं, इसलिए वे इसके दायरे से बाहर हैं; जबकि इस सूची में अपशिष्ट प्रबंधन, डाक सेवाएं, खाद्य और डिजिटल सेवा प्रदाता जैसे क्षेत्र शामिल हैं। दूसरी गलती यह है कि रिपोर्टिंग के दायित्व को आईटी से संबंधित मामला मान लिया जाता है, जबकि 24 घंटे की समय सीमा तभी पूरी की जा सकती है जब बोर्ड स्तर तक पहले से ही निर्णय लिया गया हो। तीसरी गलती यह है कि आपूर्तिकर्ताओं को भुगतान सौंपने का प्रावधान आमतौर पर मौजूदा अनुबंधों में शामिल नहीं होता है।