टॉम मीविस द्वारा, वकील Law & More
साइबर सुरक्षा अब केवल एक तकनीकी मामला नहीं रह गया है। यह एक कानूनी और शासन संबंधी मुद्दा भी है जो लगभग हर आकार के संगठन को प्रभावित करता है।
यूरोपीय NIS2 निर्देश और डच साइबर सुरक्षा अधिनियम के साथ, डिजिटल लचीलेपन की जिम्मेदारी प्रबंधन बोर्ड पर आ जाती है। डच साइबर सुरक्षा अधिनियम 15 अगस्त 2026 से लागू होगा। इसलिए, व्यवसाय मालिकों, निदेशकों और अनुपालन अधिकारियों को कम समय में निम्नलिखित स्थापित करना होगा:
- क्या उनका संगठन नए नियमों के दायरे में आता है;
- जिनसे ये दायित्व उत्पन्न होते हैं;
- किन उपायों की आवश्यकता है;
- और संगठन उन दायित्वों को कैसे पूरा कर सकता है।
यह लेख एनआईएस2 और डच साइबर सुरक्षा अधिनियम के मुख्य तत्वों को रेखांकित करता है: इसका दायरा, देखभाल का कर्तव्य, अधिसूचना का कर्तव्य, बोर्ड की जिम्मेदारी, प्रवर्तन और वे कदम जो संगठन अभी उठा सकते हैं।
NIS2 क्या है?
NIS2, निर्देश (EU) 2022/2555 का औपचारिक पदनाम है। यह पहले यूरोपीय नेटवर्क और सूचना सुरक्षा निर्देश का स्थान लेता है, जिसे आमतौर पर NIS1 के रूप में जाना जाता है।
सदस्य देशों को 17 अक्टूबर 2024 तक एनआईएस2 को राष्ट्रीय कानून में शामिल करना आवश्यक था। 18 अक्टूबर 2024 से एनआईएस2 ने औपचारिक रूप से पूर्ववर्ती निर्देश का स्थान ले लिया।
इसका उद्देश्य यूरोपीय संघ के भीतर साइबर सुरक्षा के स्तर को बढ़ाना और उसे बेहतर ढंग से संरेखित करना है। यह दो मुख्य बिंदुओं पर आधारित है। पहला, व्यापक दायरा: एनआईएस1 के अंतर्गत आने वाले संगठनों की तुलना में अब कहीं अधिक संगठन इसके अंतर्गत आते हैं। दूसरा, कड़ी निगरानी और सख्त प्रवर्तन, व्यापक टूलकिट और निदेशकों के लिए स्पष्ट जिम्मेदारियां।
जहां एनआईएस1 आवश्यक सेवाओं के संचालकों और डिजिटल सेवा प्रदाताओं के बीच अंतर करता था, वहीं एनआईएस2 आवश्यक संस्थाओं और महत्वपूर्ण संस्थाओं के साथ काम करता है। यह अंतर केवल शब्दावली तक सीमित नहीं है: यह अन्य बातों के अलावा, निगरानी की तीव्रता और संभावित जुर्माने के स्तर को निर्धारित करता है।
कौन-कौन से संगठन NIS2 के अंतर्गत आते हैं?
एनआईएस2 अठारह निर्दिष्ट क्षेत्रों में सक्रिय संगठनों पर लागू होता है, जिन्हें उच्च महत्व वाले क्षेत्रों और अन्य महत्वपूर्ण क्षेत्रों में विभाजित किया गया है।
उच्च महत्व वाले क्षेत्रों में ऊर्जा, परिवहन, बैंकिंग, वित्तीय बाजार अवसंरचना, स्वास्थ्य सेवा, पेयजल और अपशिष्ट जल, डिजिटल अवसंरचना, व्यावसायिक उपयोगकर्ताओं के लिए आईसीटी सेवा प्रबंधन, सार्वजनिक प्रशासन और अंतरिक्ष शामिल हैं।
अन्य महत्वपूर्ण क्षेत्रों में डाक और कूरियर सेवाएं, अपशिष्ट प्रबंधन, रसायन, खाद्य पदार्थ, विनिर्माण, डिजिटल प्रदाता और अनुसंधान संस्थान शामिल हैं।
आकार की सीमा
इन क्षेत्रों के अंतर्गत मुख्य नियम यह है कि कोई संगठन NIS2 के अंतर्गत तभी आता है जब वह मध्यम आकार या बड़े उद्यम की श्रेणी में आता हो। इसके लिए मानदंड हैं कम से कम 50 कर्मचारी, या वार्षिक कारोबार या बैलेंस शीट का कुल योग 10 मिलियन यूरो से अधिक होना।
इस मुख्य नियम के कुछ अपवाद हैं। कुछ संगठन आकार की परवाह किए बिना इसके दायरे में आते हैं, क्योंकि उनकी सेवाओं को विशेष रूप से महत्वपूर्ण माना जाता है:
- सार्वजनिक इलेक्ट्रॉनिक संचार नेटवर्क और सेवाओं के प्रदाता;
- सेवा प्रदाताओं पर भरोसा करें;
- डोमेन नाम पंजीकरण सेवा प्रदाता;
- शीर्ष-स्तरीय डोमेन नाम रजिस्ट्री;
- सार्वजनिक क्षेत्र के निकाय।
15 अगस्त 2026 से नीदरलैंड्स में 8,000 से अधिक संगठनों पर नए दायित्व लागू होंगे। यह वर्तमान नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम के अंतर्गत आने वाले संगठनों की संख्या की तुलना में एक उल्लेखनीय विस्तार है।
वे संगठन जो पहले खुद को महत्वपूर्ण क्षेत्र का हिस्सा नहीं मानते थे, वे भी इसके दायरे में आ सकते हैं, जिनमें मध्यम आकार के निर्माता, खाद्य उत्पादक, अनुसंधान संस्थान और डिजिटल सेवा प्रदाता शामिल हैं। महत्वपूर्ण बात यह है कि संगठनों को स्वयं यह आकलन करना होगा कि वे इसके दायरे में आते हैं या नहीं। उन्हें इस बारे में सूचित करने के लिए पर्यवेक्षक की ओर से कोई पत्र नहीं भेजा जाएगा।
देखभाल का कर्तव्य: कौन से उपाय आवश्यक हैं?
एनआईएस2 और डच साइबर सुरक्षा अधिनियम का मूल आधार देखभाल का कर्तव्य है। आवश्यक और महत्वपूर्ण संस्थाओं को अपने नेटवर्क और सूचना प्रणालियों के जोखिमों को प्रबंधित करने के लिए उचित और आनुपातिक तकनीकी, परिचालन और संगठनात्मक उपाय करने होंगे।
नियमों में उन विषयों की पहचान की गई है जिन्हें नीति को हर हाल में संबोधित करना होगा:
- जोखिम विश्लेषण और सूचना सुरक्षा नीति;
- घटना का प्रबंधन;
- व्यवसाय की निरंतरता, बैकअप प्रबंधन और आपदा से उबरने की क्षमता;
- आपूर्ति श्रृंखला सुरक्षा;
- साइबर स्वच्छता और कर्मचारियों का प्रशिक्षण;
- सुरक्षा भेद्यता से निपटने की नीति;
- बहु-कारक प्रमाणीकरण;
- सुरक्षित संचार;
- क्रिप्टोग्राफी;
- उपायों की प्रभावशीलता का आवधिक मूल्यांकन।
ये उपाय संगठन के आकार और उसके सामने आने वाले वास्तविक जोखिमों के अनुपात में होने चाहिए। इसलिए, एक छोटे लेकिन महत्वपूर्ण संगठन को उच्च जोखिम वाले क्षेत्र में स्थित एक बड़े और आवश्यक संगठन के समान उपाय करने की आवश्यकता नहीं है।
इसका अर्थ यह नहीं है कि देखभाल का कर्तव्य वैकल्पिक है। संगठनों को यह प्रमाणित करने में सक्षम होना चाहिए कि उन्होंने किन जोखिमों की पहचान की, कौन से उपाय किए और वे उपाय क्यों उपयुक्त हैं। न केवल उपाय, बल्कि उनके मूल्यांकन, रिकॉर्डिंग और आवधिक समीक्षा का तरीका भी निगरानी के अधीन है।
किसी घटना के बाद सूचना देने का कर्तव्य
देखभाल के कर्तव्य के साथ-साथ, NIS2 महत्वपूर्ण घटनाओं के लिए चरणबद्ध अधिसूचना का कर्तव्य भी लागू करता है। यदि किसी घटना का सेवाओं की निरंतरता पर पर्याप्त प्रभाव पड़ता है या पड़ सकता है, तो व्यापक रूप से निम्नलिखित समय सीमाएँ लागू होती हैं:
- 24 घंटों के भीतर, राष्ट्रीय कंप्यूटर सुरक्षा घटना प्रतिक्रिया टीम या सक्षम प्राधिकारी को प्रारंभिक चेतावनी;
- 72 घंटों के भीतर, गंभीरता और प्रभाव के प्रारंभिक आकलन के साथ एक औपचारिक सूचना जारी की जाएगी;
- एक महीने के भीतर, घटना का विवरण देने वाली एक अंतिम रिपोर्ट, जिसमें घटना का संभावित मूल कारण, उठाए गए कदम और इसके सीमा पार प्रभावों का वर्णन हो।
इन समय सीमाओं के चलते पहले से ही स्पष्ट प्रक्रियाएँ निर्धारित करना आवश्यक हो जाता है। संगठन को यह जानना होगा कि कोई घटना कब सूचित करने योग्य है, किसे सूचित करने का अधिकार है, कौन सी जानकारी उपलब्ध होनी चाहिए, समन्वय कौन करेगा और बोर्ड तथा पर्यवेक्षक को कैसे सूचित किया जाएगा।
जो संगठन किसी घटना के दौरान ही अधिसूचना प्रक्रिया स्थापित करने का प्रयास करता है, उसके समय पर या पूरी तरह से रिपोर्ट करने में असमर्थ होने का काफी जोखिम रहता है।
बोर्ड की जिम्मेदारी
एनआईएस2 का एक महत्वपूर्ण तत्व यह है कि साइबर जोखिम प्रबंधन की जिम्मेदारी स्पष्ट रूप से प्रबंधन बोर्ड को सौंपी गई है। बोर्ड को सुरक्षा उपायों को मंजूरी देनी होगी, उनके कार्यान्वयन की निगरानी करनी होगी, संगठन के साइबर जोखिमों का आकलन करने में सक्षम होना होगा और स्वयं पर्याप्त प्रशिक्षण प्राप्त करना होगा।
इसलिए साइबर सुरक्षा को अब केवल आईटी विभाग की जिम्मेदारी नहीं माना जा सकता। यह एक ऐसा प्रशासनिक विषय है जिसे नियमित निर्णय लेने और जोखिम प्रबंधन का अभिन्न अंग होना चाहिए।
निर्देश में स्पष्ट रूप से यह भी बताया गया है कि यदि संगठन अनुपालन करने में विफल रहता है तो वरिष्ठ प्रबंधन की व्यक्तिगत जिम्मेदारी क्या होगी। बोर्ड की भागीदारी को तदनुसार दर्ज करें, उदाहरण के लिए आयोजित प्रशिक्षण, बोर्ड के निर्णय, अनुमोदित नीति, जोखिम मूल्यांकन, रिपोर्टिंग और कार्यान्वयन की निगरानी का दस्तावेजीकरण करके।
डच कार्यान्वयन
नीदरलैंड में NIS2 के कार्यान्वयन में काफी देरी हुई है। 17 अक्टूबर 2024 की निर्धारित समय सीमा का पालन नहीं किया जा सका।
8 जुलाई 2026 को यूरोपीय आयोग ने नीदरलैंड्स, आयरलैंड, स्पेन और फ्रांस को, कार्यान्वयन उपायों की अधिसूचना जारी करने में विफल रहने के कारण यूरोपीय संघ के न्याय न्यायालय में भेजने का निर्णय लिया। इस प्रकार नीदरलैंड्स यूरोपीय संघ के चार पिछड़ने वाले देशों में शामिल हो गया।
समय का संयोग बेहद महत्वपूर्ण है। एक दिन पहले, 7 जुलाई 2026 को, सीनेट ने साइबर सुरक्षा अधिनियम और महत्वपूर्ण संस्थाओं के लचीलेपन अधिनियम को मंजूरी दी थी। क्या इस तथ्य का प्रभाव कार्यवाही के परिणाम पर पड़ेगा कि अधिनियम को याचिका भेजे जाने से पहले ही पारित कर दिया गया था; यह देखना बाकी है; इसका निर्णय न्यायालय को करना है।
ये दोनों अधिनियम 15 अगस्त 2026 से लागू होंगे। साइबर सुरक्षा अधिनियम NIS2 निर्देश को लागू करता है; महत्वपूर्ण संस्थाओं के लचीलेपन का अधिनियम महत्वपूर्ण अवसंरचना के लचीलेपन के उद्देश्य से यूरोपीय CER निर्देश को लागू करता है। बाद वाले अधिनियम के अंतर्गत आने वाले संगठनों को 15 अगस्त 2026 से औपचारिक रूप से महत्वपूर्ण संस्थाओं के रूप में नामित किया जाएगा।
इसके लागू होने पर, वर्तमान नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम (डब्ल्यूबीएनआई) समाप्त हो जाएगा। इसके अंतर्गत पहले से ही आने वाले संगठनों के लिए इसका अर्थ है अधिक गंभीर दायित्व; और पहली बार इसके दायरे में आने वाले संगठनों के लिए एक पूरी तरह से नई व्यवस्था।
एनसीएससी के साथ पंजीकरण
राष्ट्रीय साइबर सुरक्षा केंद्र में पंजीकरण एक महत्वपूर्ण नया दायित्व है। आवश्यक और महत्वपूर्ण संस्थाओं को राष्ट्रीय संस्था रजिस्टर में दर्ज कराना अनिवार्य है। यह पंजीकरण 15 अगस्त 2026 से अनिवार्य है और MijnNCSC पोर्टल के माध्यम से किया जाता है। सामान्य संगठनों के लिए eHerkenning और सार्वजनिक क्षेत्र के निकायों के लिए SSOnRijk का उपयोग किया जाता है। पंजीकृत डेटा में किसी भी परिवर्तन की सूचना चौदह दिनों के भीतर देनी होगी।
पंजीकरण महज एक प्रशासनिक औपचारिकता नहीं है। एक बार पंजीकृत हो जाने पर, संगठन अपने सीएसआईआरटी (CSIRT) की सेवाओं से जुड़ सकते हैं, जो लचीलापन बढ़ाने के साथ-साथ किसी घटना की स्थिति में सहायता प्रदान करने वाले उत्पाद और सेवाएं उपलब्ध कराता है। पंजीकरण की प्रक्रिया समय रहते पूरी कर लें, ताकि कार्यान्वयन लागू होने के बाद ही शुरू न हो।
पर्यवेक्षण और प्रवर्तन
साइबर सुरक्षा अधिनियम में एक विभेदित पर्यवेक्षण व्यवस्था का प्रावधान है। आवश्यक संस्थाएँ सक्रिय पर्यवेक्षण के अधीन हैं: पर्यवेक्षक किसी विशिष्ट घटना या संकेत के बिना, निरंतर और अपनी पहल पर जाँच कर सकता है। महत्वपूर्ण संस्थाएँ प्रतिक्रियात्मक पर्यवेक्षण के अधीन हैं, जहाँ पर्यवेक्षक सिद्धांत रूप में किसी घटना, शिकायत या अन्य ठोस संकेत के जवाब में कार्रवाई करता है।
पर्यवेक्षण कई प्राधिकरणों के अंतर्गत विभाजित है। 15 अगस्त 2026 से डच डिजिटल अवसंरचना प्राधिकरण नौ क्षेत्रों में संगठनों का पर्यवेक्षण करता है; अन्य क्षेत्रों के लिए अन्य पर्यवेक्षक नियुक्त किए गए हैं। यह निर्धारित करें कि आपके संगठन के लिए कौन सा पर्यवेक्षक सक्षम है।
प्रवर्तन संबंधी उपकरण व्यापक है और इसमें निम्नलिखित शामिल हैं:
- सुरक्षा जांच या सुरक्षा ऑडिट;
- एक बाध्यकारी निर्देश;
- प्रशासनिक प्रवर्तन आदेश या दंड भुगतान के अधीन आदेश;
- किसी उल्लंघन का प्रकाशन;
- प्रशासनिक जुर्माना;
- आवश्यक संस्थाओं के लिए: किसी प्रमाणन, प्राधिकरण या बोर्ड सदस्य का निलंबन।
आवश्यक संस्थाओं के लिए अधिकतम जुर्माना कम से कम 10 मिलियन यूरो या कुल वार्षिक वैश्विक कारोबार का 2% है, जो भी अधिक हो। महत्वपूर्ण संस्थाओं के लिए यह कम से कम 7 मिलियन यूरो या कुल वार्षिक वैश्विक कारोबार का 1.4% है, जो भी अधिक हो। अंतिम जुर्माना मामले की परिस्थितियों पर निर्भर करता है, जिसमें उल्लंघन की प्रकृति, गंभीरता और अवधि, दोष की मात्रा और उठाए गए कदम शामिल हैं।
अब आपका संगठन क्या कर सकता है?
- स्व-मूल्यांकन करें। यह निर्धारित करें कि क्या संगठन निर्दिष्ट क्षेत्र में सक्रिय है और आकार की निर्धारित सीमा को पूरा करता है।
- सही श्रेणी का निर्धारण करें। यह स्थापित करें कि क्या संगठन एक आवश्यक या महत्वपूर्ण इकाई के रूप में योग्य है, और कौन सा पर्यवेक्षक सक्षम है।
- पंजीकरण की तैयारी करें। MijnNCSC के माध्यम से NCSC में पंजीकरण के लिए आवश्यक डेटा एकत्र करें।
- कर्तव्य-संबंधी उपायों का परीक्षण करें। जोखिम विश्लेषण, घटना प्रतिक्रिया, व्यावसायिक निरंतरता, आपूर्ति श्रृंखला सुरक्षा, साइबर स्वच्छता, कमजोरियों, बहु-कारक प्रमाणीकरण और क्रिप्टोग्राफी पर मौजूदा उपायों का आकलन करें।
- सूचना देने की प्रक्रिया स्थापित करें। यह रिकॉर्ड करें कि कौन यह आकलन करता है कि कोई घटना सूचना देने योग्य है या नहीं, कौन सूचना देता है, और 24 घंटे, 72 घंटे और एक महीने की समय सीमा का पालन कैसे किया जाता है।
- बोर्ड को स्पष्ट रूप से शामिल करें। बोर्ड द्वारा लिए गए निर्णयों, आयोजित प्रशिक्षणों और कार्यान्वयन की निगरानी के तरीकों का रिकॉर्ड रखें।
- आपूर्ति श्रृंखला को शामिल करें। अधिकांश कमजोरियां संगठन के भीतर नहीं, बल्कि आपूर्तिकर्ताओं और सेवा प्रदाताओं के यहां उत्पन्न होती हैं। सुरक्षा व्यवस्था, सूचना देने के दायित्व और लेखापरीक्षा अधिकारों से संबंधित अपने अनुबंधों की समीक्षा करें।
बंद होने को
साइबर सुरक्षा अधिनियम और महत्वपूर्ण संस्था लचीलापन अधिनियम साइबर सुरक्षा दायित्वों को काफी सख्त बनाते हैं। व्यापक दायरा, ठोस कर्तव्य-पालन उपाय, सख्त अधिसूचना समयसीमा, निदेशकों की व्यक्तिगत जिम्मेदारी और व्यापक प्रवर्तन उपकरण यह सुनिश्चित करते हैं कि संगठन इस विषय को नजरअंदाज न कर सकें। 15 अगस्त 2026 से लागू होने के साथ, तैयारी का समय बहुत कम है।
Law & More यह संस्था व्यवसायों, निदेशकों और अनुपालन अधिकारियों को एनआईएस2 और डच साइबर सुरक्षा अधिनियम के तहत अपनी स्थिति निर्धारित करने, कर्तव्य-देखभाल उपायों को स्थापित करने और उनका परीक्षण करने, एनसीएससी के साथ पंजीकरण तैयार करने और साइबर सुरक्षा नीति को कानूनी रूप से लागू करने में सहायता करती है।
क्या आप नए नियमों के तहत अपने संगठन की स्थिति का आकलन करवाना चाहेंगे? कृपया निःसंकोच हमसे संपर्क करें। हम इस विषय पर बिना किसी बाध्यता के चर्चा करेंगे।
ज़्यादातर पूछे जाने वाले सवाल
नीचे हम इस विषय पर हमसे अक्सर पूछे जाने वाले प्रश्नों के उत्तर दे रहे हैं।
डच साइबर सुरक्षा अधिनियम कब से लागू होगा?
15 अगस्त 2026 को। सीनेट ने 7 जुलाई 2026 को साइबर सुरक्षा अधिनियम और महत्वपूर्ण संस्थाओं के लचीलेपन अधिनियम को मंजूरी दी। इसके लागू होने पर, वर्तमान नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम (डब्ल्यूबीएनआई) समाप्त हो जाएगा।
क्या मेरा संगठन NIS2 के अंतर्गत आता है?
यह आपके क्षेत्र और आपके आकार पर निर्भर करता है। NIS2 अठारह निर्दिष्ट क्षेत्रों को कवर करता है और इन क्षेत्रों के भीतर, मुख्य नियम के अनुसार कम से कम 50 कर्मचारियों वाले या 10 मिलियन यूरो से अधिक वार्षिक कारोबार या बैलेंस शीट योग वाले संगठन शामिल हैं। कुछ पक्ष आकार की परवाह किए बिना कवर किए जाते हैं।
क्या मुझे इस बात की सूचना मिलेगी कि मेरा संगठन इस दायरे में आता है या नहीं?
नहीं। संगठनों को स्वयं यह आकलन करने की जिम्मेदारी लेनी चाहिए कि वे साइबर सुरक्षा अधिनियम के अंतर्गत आते हैं या नहीं। प्रतीक्षा करने से आकलन होने से पहले ही दायित्व लागू होने का जोखिम रहता है।
आवश्यक और महत्वपूर्ण इकाई में क्या अंतर है?
यह निगरानी की तीव्रता और संभावित जुर्माने के स्तर को निर्धारित करता है। आवश्यक संस्थाओं पर सक्रिय निगरानी लागू होती है, जहां पर्यवेक्षक अपनी पहल पर जांच कर सकता है। महत्वपूर्ण संस्थाओं पर प्रतिक्रियात्मक निगरानी लागू होती है, जो किसी घटना, शिकायत या अन्य संकेत के आधार पर की जाती है।
देखभाल के कर्तव्य में क्या शामिल है?
अपने नेटवर्क और सूचना प्रणालियों के जोखिमों को प्रबंधित करने के लिए उचित और आनुपातिक तकनीकी, परिचालन और संगठनात्मक उपाय करना, जिसमें जोखिम विश्लेषण, घटना प्रबंधन, व्यावसायिक निरंतरता, आपूर्ति श्रृंखला सुरक्षा, साइबर स्वच्छता, कमजोरियां, बहु-कारक प्रमाणीकरण और क्रिप्टोग्राफी जैसे विषय शामिल हैं। आपको यह सिद्ध करने में सक्षम होना चाहिए कि चयनित उपाय क्यों उपयुक्त हैं।
किसी घटना के बाद सूचना देने की अंतिम तिथि क्या है?
24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर गंभीरता और प्रभाव के प्रारंभिक आकलन के साथ औपचारिक सूचना, और अधिकतम एक महीने के भीतर अंतिम रिपोर्ट। सूचना प्रक्रिया पहले से ही व्यवस्थित कर लें।
क्या मेरे संगठन को पंजीकरण कराना होगा?
जी हाँ। राष्ट्रीय संस्था रजिस्टर में पंजीकरण 15 अगस्त 2026 से अनिवार्य है और यह MijnNCSC के माध्यम से eHerkenning या सार्वजनिक क्षेत्र के निकायों के लिए SSOnRijk का उपयोग करके किया जाता है। परिवर्तनों की सूचना चौदह दिनों के भीतर देनी होगी। पंजीकरण के बाद आप अपने CSIRT की सेवाओं से जुड़ सकते हैं।
बोर्ड की क्या जिम्मेदारी है?
बोर्ड को सुरक्षा उपायों को मंजूरी देनी होगी, उनके कार्यान्वयन की निगरानी करनी होगी, साइबर जोखिमों का आकलन करने में सक्षम होना होगा और स्वयं भी प्रशिक्षण प्राप्त करना होगा। निर्देश में अनुपालन न करने पर वरिष्ठ प्रबंधन की व्यक्तिगत जवाबदेही का भी उल्लेख है, इसलिए निर्णयों, प्रशिक्षण और निगरानी का स्पष्ट रिकॉर्ड रखें।
जुर्माने की राशि कितनी है?
आवश्यक संस्थाओं के लिए कम से कम 10 मिलियन यूरो या वैश्विक वार्षिक कारोबार का 2%; महत्वपूर्ण संस्थाओं के लिए कम से कम 7 मिलियन यूरो या 1.4%, दोनों ही मामलों में जो भी अधिक हो। अंतिम स्तर उल्लंघन की प्रकृति, गंभीरता और अवधि तथा दोषसिद्धि की डिग्री सहित कई कारकों पर निर्भर करता है।
अनुपालन की निगरानी कौन करता है?
यह क्षेत्र के अनुसार भिन्न होता है। 15 अगस्त 2026 से डच डिजिटल अवसंरचना प्राधिकरण नौ क्षेत्रों में संगठनों की निगरानी करता है; अन्य क्षेत्रों के लिए अलग-अलग पर्यवेक्षक नियुक्त किए गए हैं। यह निर्धारित करें कि आपके संगठन के लिए कौन सा पर्यवेक्षक सक्षम है।
नीदरलैंड्स को न्याय न्यायालय में क्यों भेजा गया है?
एनआईएस2 के विलंबित कार्यान्वयन के लिए। 8 जुलाई 2026 को यूरोपीय आयोग ने कार्यान्वयन उपायों की अधिसूचना न देने के कारण नीदरलैंड्स, आयरलैंड, स्पेन और फ्रांस को न्याय न्यायालय में भेजने का निर्णय लिया। साइबर सुरक्षा अधिनियम का एक दिन पहले अपनाया जाना अपने आप में उन कार्यवाही को समाप्त नहीं करता है।
क्या यह नियम मेरे आपूर्तिकर्ताओं पर भी लागू होता है?
आपूर्ति श्रृंखला सुरक्षा, देखभाल के दायित्व से संबंधित विषयों में से एक है। सुरक्षा संबंधी अधिकांश कमज़ोरियाँ आपूर्तिकर्ताओं और सेवा प्रदाताओं के स्तर पर उत्पन्न होती हैं। सुरक्षा व्यवस्था, सूचना देने के दायित्व और लेखापरीक्षा अधिकारों से संबंधित अपने अनुबंधों की समीक्षा करें।
