नीदरलैंड्स में NIS2 निर्देश का कार्यान्वयन, साइबर सुरक्षा अधिनियम ( Cyberbeveiligingswet , Cbw), 15 अगस्त 2026 से लागू हो गया है। यह पूर्ववर्ती नेटवर्क और सूचना प्रणाली सुरक्षा अधिनियम ( Wet beveiliging netwerk- en informatiesystemen , Wbni) का स्थान लेता है और ऊर्जा, पेयजल, डिजिटल अवसंरचना, स्वास्थ्य सेवा, परिवहन, सार्वजनिक प्रशासन, विनिर्माण, अपशिष्ट और डाक सेवाओं सहित अठारह क्षेत्रों में आवश्यक या महत्वपूर्ण संस्थाओं के रूप में नामित संगठनों पर लागू होता है। नीदरलैंड्स में अनुमानित आठ हजार संगठनों तक यह अधिनियम पहुंचता है।
इसे तीन दायित्वों द्वारा परिभाषित किया गया है। पहला दायित्व है सावधानी का कर्तव्य ( ज़ोर्गप्लिच्ट ): इसके दायरे में आने वाली संस्था को अपने नेटवर्क और सूचना प्रणालियों के जोखिमों को प्रबंधित करने और घटनाओं के परिणामों को सीमित करने के लिए उचित और आनुपातिक तकनीकी, परिचालन और संगठनात्मक उपाय करने होंगे। दूसरा दायित्व है रिपोर्ट करने का कर्तव्य ( मेल्डप्लिच्ट ): किसी भी महत्वपूर्ण घटना की सूचना सक्षम कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल और क्षेत्र पर्यवेक्षक को निर्धारित समय सीमा के भीतर देनी होगी, जिसमें चौबीस घंटे के भीतर प्रारंभिक चेतावनी, बहत्तर घंटे के भीतर विस्तृत सूचना और एक महीने के भीतर अंतिम रिपोर्ट शामिल है। तीसरा दायित्व है राष्ट्रीय साइबर सुरक्षा केंद्र (एनसीएससी) में पंजीकरण ( रजिस्ट्राटिप्लिच्ट )।
एनआईएस2 को पहले के साइबर सुरक्षा नियमों से अलग करने वाली बात यह है कि इसमें जिम्मेदारी किसकी है। प्रबंधन निकायों को जोखिम प्रबंधन उपायों को मंजूरी देनी होगी और उनके कार्यान्वयन की निगरानी करनी होगी; विफलताओं के लिए उन्हें जवाबदेह ठहराया जा सकता है, और उन्हें प्रशिक्षण का पालन करना अनिवार्य है। देखभाल का कर्तव्य आपूर्ति श्रृंखला तक भी विस्तारित है, जिसका अर्थ है कि आपूर्तिकर्ताओं और सेवा प्रदाताओं के साथ अनुबंधों के माध्यम से इसे प्रभावी बनाया जाना चाहिए।
यह लेख बताता है कि यह कैसे निर्धारित किया जाए कि आपका संगठन इसके दायरे में आता है या नहीं, व्यवहार में देखभाल का कर्तव्य क्या कहता है, रिपोर्टिंग की समय सीमा कैसे निर्धारित होती है, और सबसे पहले क्या व्यवस्था करनी चाहिए।
विषय - सूची
- क्या एनआईएस2 आपके संगठन पर लागू होता है?
- प्रबंधन, कर्मचारियों और कंपनी के लिए क्या बदलाव होंगे?
- आप चरण दर चरण NIS2 के अनुरूप कैसे बन सकते हैं?
- आप व्यवहार में NIS2 का प्रबंधन कैसे करते हैं?
एनआईएस2 पर एक नजर
| विषय | नीदरलैंड में क्या लागू होता है |
| विधान | साइबर सुरक्षा अधिनियम (Cyberbeveiligingswet), निर्देश (ईयू) 2022/2555 (एनआईएस2) को लागू करना, जो 15 अगस्त 2026 से प्रभावी है। |
| कौन कवर किया गया है? | अठारह क्षेत्रों में कम से कम 50 कर्मचारियों वाली संस्थाएँ, या कम कर्मचारियों वाली संस्थाएँ जिनका वार्षिक कारोबार और कुल बैलेंस शीट दोनों 10 मिलियन यूरो से अधिक हो, इस योजना के अंतर्गत आती हैं। कुछ सेवा प्रदाता, जैसे DNS सेवा प्रदाता और सरकारी संगठन, आकार की परवाह किए बिना इस योजना में शामिल हैं। |
| मुख्य दायित्व | देखभाल का कर्तव्य, महत्वपूर्ण घटनाओं की रिपोर्ट करने का कर्तव्य (24 घंटे, 72 घंटे, एक महीना) और एनसीएससी के साथ पंजीकरण। |
| जुर्माना | आवश्यक संस्थाओं के लिए 10 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार का 2%, और महत्वपूर्ण संस्थाओं के लिए 7 मिलियन यूरो तक या 1.4%, जो भी अधिक हो। |
| उत्तरदायित्व | प्रबंधन निकाय उपायों को मंजूरी देता है, उनके कार्यान्वयन की निगरानी करता है, प्रशिक्षण का पालन करता है और उसे जवाबदेह ठहराया जा सकता है। |
क्या एनआईएस2 आपके संगठन पर लागू होता है?
एनआईएस2 तब लागू होता है जब आपका संगठन सूचीबद्ध अठारह क्षेत्रों में से किसी एक में कार्यरत हो और आकार की निर्धारित सीमा को पूरा करता हो, या यदि वह किसी ऐसी श्रेणी में आता हो जो आकार की परवाह किए बिना इसके अंतर्गत आती हो। साइबर सुरक्षा अधिनियम 15 अगस्त 2026 से लागू है, और इसके लिए कोई सामान्य संक्रमणकालीन अवधि नहीं है: दायित्व अभी से लागू होते हैं।
नीदरलैंड्स ने यूरोपीय समयसीमा के बाद इस निर्देश को लागू किया। कई पुराने लेखों में अभी भी "2025 की समयसीमा" का उल्लेख है। वह तारीख अब प्रासंगिक नहीं है। महत्वपूर्ण बात यह है कि डच नियम लागू हैं और पर्यवेक्षक उन्हें लागू करवा सकते हैं। केवल एक सीमित समूह, जैसे उच्च शिक्षा संस्थानों को, अनुपालन के लिए अधिक समय दिया गया है।
किन क्षेत्रों और संगठनों को इसमें शामिल किया गया है?
इस अधिनियम में अठारह क्षेत्र शामिल हैं, जिन्हें दो परिशिष्टों में सूचीबद्ध किया गया है। पहले परिशिष्ट में ऊर्जा, परिवहन, बैंकिंग, वित्तीय बाजार अवसंरचना, स्वास्थ्य सेवा, पेयजल, अपशिष्ट जल, डिजिटल अवसंरचना, सार्वजनिक प्रशासन और अंतरिक्ष जैसे उच्च महत्व के क्षेत्र शामिल हैं। दूसरे परिशिष्ट में डाक और कूरियर सेवाएं, अपशिष्ट प्रबंधन, रसायन, खाद्य पदार्थ, विनिर्माण, डिजिटल सेवा प्रदाता और अनुसंधान जैसे अन्य महत्वपूर्ण क्षेत्र शामिल हैं।
इन क्षेत्रों के अंतर्गत, आकार यह निर्धारित करता है कि आप इसके दायरे में आते हैं या नहीं। एनसीएससी के अनुसार, आपका संगठन इसके दायरे में आता है यदि वह इनमें से कम से कम एक मानदंड को पूरा करता है:
- कर्मचारीइसमें 50 या उससे अधिक लोग कार्यरत हैं (पूर्णकालिक समकक्षों के रूप में)।
- कारोबार और बैलेंस शीटइसमें 50 से कम लोग कार्यरत हैं, लेकिन इसका वार्षिक कारोबार और बैलेंस शीट का कुल योग दोनों 10 मिलियन यूरो से अधिक है।
- समूहइन आंकड़ों में साझेदार और संबद्ध उद्यमों को भी शामिल किया जाता है, इसलिए एक बड़े समूह की छोटी सहायक कंपनी भी इसमें शामिल हो सकती है।
कुछ संगठन अपने आकार की परवाह किए बिना इसके अंतर्गत आते हैं। इनमें DNS सेवा प्रदाता, सार्वजनिक इलेक्ट्रॉनिक संचार नेटवर्क या सेवाओं के प्रदाता, ट्रस्ट सेवा प्रदाता, शीर्ष-स्तरीय डोमेन नाम रजिस्ट्री और सरकारी संगठन शामिल हैं।
कानून के दायरे में, आवश्यक और महत्वपूर्ण संस्थाओं के बीच अंतर किया गया है। आम तौर पर, उच्च-महत्वपूर्ण क्षेत्रों में बड़े संगठन आवश्यक संस्थाएँ होते हैं; अन्य महत्वपूर्ण संस्थाएँ होती हैं। यह अंतर निगरानी और अधिकतम जुर्माने के लिए महत्वपूर्ण है। डच डिजिटल अवसंरचना प्राधिकरण (आरडीआई) regelhulpenvoorbedrijven.nl पर एक स्व-मूल्यांकन उपकरण (NIS2-Zelfevaluatie) प्रदान करता है, जो आपको अपनी स्थिति निर्धारित करने में मदद करता है। यदि परिणाम स्पष्ट नहीं है, उदाहरण के लिए समूह संरचना या मिश्रित गतिविधियों के कारण, तो इसका मूल्यांकन करवाएं और इसके कारणों को दर्ज करें।
देखभाल का कर्तव्य क्या अपेक्षा करता है?
सुरक्षा का कर्तव्य आपके नेटवर्क और सूचना प्रणालियों के जोखिमों को प्रबंधित करने के लिए उचित और आनुपातिक उपायों की मांग करता है। "आनुपातिक" का अर्थ है कि उपाय आपके आकार, जोखिम के प्रति आपकी संवेदनशीलता और किसी घटना के समाज और अर्थव्यवस्था पर संभावित प्रभाव के अनुरूप होने चाहिए।
यह निर्देश एनआईएस2 निर्देश के अनुच्छेद 21(2) में न्यूनतम आधारभूत स्तर निर्धारित करता है। संक्षेप में, आपके उपायों में निम्नलिखित शामिल होने चाहिए:
- जोखिम विश्लेषणजोखिम विश्लेषण और आपकी सूचना प्रणालियों की सुरक्षा संबंधी नीतियां
- घटना प्रबंधनघटनाओं का पता लगाने, उनसे निपटने और उनसे उबरने की प्रक्रियाएँ
- निरंतरताव्यवसाय निरंतरता, बैकअप, रिकवरी और संकट प्रबंधन
- आपूर्ति श्रृंखलाआपूर्तिकर्ताओं और सेवा प्रदाताओं के साथ आपके संबंधों में सुरक्षा
- विकास और रखरखावसिस्टमों को प्राप्त करने, विकसित करने और उनका रखरखाव करने के दौरान सुरक्षा, जिसमें कमजोरियों से निपटना भी शामिल है।
- परीक्षणआपके उपायों की प्रभावशीलता का आकलन करने की प्रक्रियाएँ
- स्वच्छता एवं प्रशिक्षणकर्मचारियों के लिए बुनियादी साइबर स्वच्छता और साइबर सुरक्षा प्रशिक्षण
- क्रिप्टोग्राफी और पहुंचएन्क्रिप्शन, मानव संसाधन सुरक्षा, पहुंच नियंत्रण और परिसंपत्ति प्रबंधन का उपयोग, जिसमें सुरक्षित प्रमाणीकरण भी शामिल है।
कानून में कोई विशिष्ट मानक निर्धारित नहीं है। कई संगठन अपने उपायों को संरचित करने के लिए मौजूदा सूचना सुरक्षा ढांचे का उपयोग करते हैं। पर्यवेक्षक के लिए महत्वपूर्ण यह है कि क्या आप यह प्रदर्शित कर सकते हैं कि आपके उपाय जोखिम मूल्यांकन पर आधारित हैं और वास्तव में प्रभावी हैं।
रिपोर्टिंग का दायित्व और प्रवर्तन प्रक्रिया कैसे काम करती है?
किसी भी महत्वपूर्ण घटना की रिपोर्ट तीन चरणों में देनी आवश्यक है: 24 घंटे के भीतर प्रारंभिक चेतावनी, 72 घंटे के भीतर घटना की सूचना और एक महीने के भीतर अंतिम रिपोर्ट। आपको सक्षम कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल (सीएसआईआरटी) और अपने सेक्टर सुपरवाइजर को रिपोर्ट देनी होगी।
24 घंटे की चेतावनी संक्षिप्त होती है और पूरी जानकारी देना आवश्यक नहीं है। यह मुख्य रूप से किसी घटना के होने का संकेत देती है और यह बताती है कि क्या इसमें कोई दुर्भावनापूर्ण इरादा या सीमा पार प्रभाव हो सकता है। 72 घंटे की सूचना में गंभीरता और प्रभाव का प्रारंभिक आकलन दिया जाता है। अंतिम रिपोर्ट में कारण, उठाए गए कदम और सीमा पार परिणामों का विवरण होता है।
पर्यवेक्षण को क्षेत्र के अनुसार विभाजित किया गया है। आपकी गतिविधियों के आधार पर, आपका पर्यवेक्षक उदाहरण के लिए, मानव पर्यावरण और परिवहन निरीक्षणालय (आईएलटी), नीदरलैंड बैंक (डीएनबी), डच वित्तीय बाजार प्राधिकरण (एएफएम), स्वास्थ्य और युवा देखभाल निरीक्षणालय (आईजीजे), नीदरलैंड खाद्य और उपभोक्ता उत्पाद सुरक्षा प्राधिकरण (एनवीडब्ल्यूए) या आरडीआई हो सकता है। पर्यवेक्षकों के पास प्रवर्तन शक्तियां होती हैं, जिनमें प्रशासनिक जुर्माना लगाना भी शामिल है।
प्रबंधन, कर्मचारियों और कंपनी के लिए क्या बदलाव होंगे?
सबसे महत्वपूर्ण बदलाव यह है कि साइबर सुरक्षा अब केवल आईटी विभाग का मामला नहीं रह गया है। एनआईएस2 प्रबंधन निकाय को जिम्मेदारी सौंपता है और कर्मचारियों और आपूर्तिकर्ताओं सहित पूरे संगठन से योगदान की अपेक्षा करता है।
इसका अर्थ यह नहीं है कि प्रत्येक कर्मचारी को नए वैधानिक कर्तव्य मिल जाते हैं। दायित्व संगठन पर निहित हैं। लेकिन संगठन इन्हें तभी पूरा कर सकता है जब लोगों को पता हो कि उनसे क्या अपेक्षा की जाती है, इसीलिए प्रशिक्षण और स्पष्ट आंतरिक नियम देखभाल के कर्तव्य का हिस्सा हैं।
NIS2 का कर्मचारियों के लिए क्या अर्थ है?
NIS2 कर्मचारियों के लिए प्रत्यक्ष रूप से कोई नए व्यक्तिगत अधिकार या दायित्व सृजित नहीं करता; ये दायित्व संगठन पर निहित हैं। हालांकि, व्यवहार में, नियोक्ता को देखभाल के कर्तव्य को नियमों और कर्मचारियों के लिए प्रशिक्षण में परिणत करना होगा।
बुनियादी साइबर स्वच्छता और साइबर सुरक्षा प्रशिक्षण न्यूनतम उपायों का हिस्सा हैं। इसका मतलब है कि आपके कर्मचारियों को, उदाहरण के लिए, निम्नलिखित कार्य करने चाहिए:
- Awarenessफ़िशिंग, पासवर्ड और सुरक्षित कार्य करने के बारे में प्रशिक्षण में भाग लें।
- आंतरिक रिपोर्टिंगयह जान लें कि वे किसी संदिग्ध घटना या खामी की रिपोर्ट कैसे और किसे करते हैं, ताकि आप 24 घंटे की समय सीमा का पालन कर सकें।
- पहुँचसुरक्षित प्रमाणीकरण का उपयोग करें और केवल उन्हीं सिस्टमों तक पहुंच रखें जिनकी उन्हें अपने काम के लिए आवश्यकता है।
इन नियमों को नीति या कर्मचारी पुस्तिका में दर्ज करें। यदि आप कर्मचारियों की कार्यप्रणाली या व्यवहार की निगरानी के लिए कोई नई व्यवस्था शुरू करते हैं, तो गोपनीयता संबंधी नियमों और, जहां लागू हो, कर्मचारी परिषद ( ओंडरनेमिंग्सराड ) की भूमिका की जांच अवश्य करें।
प्रबंधन निकाय को क्या करना चाहिए?
प्रबंधन निकाय को साइबर सुरक्षा जोखिम प्रबंधन उपायों को मंजूरी देनी होगी और उनके कार्यान्वयन की निगरानी करनी होगी। इसके सदस्यों को प्रशिक्षण लेना होगा ताकि उन्हें जोखिमों और उपायों का आकलन करने के लिए पर्याप्त ज्ञान हो। यदि संगठन अनुपालन करने में विफल रहता है, तो प्रबंधन निकाय को उत्तरदायी ठहराया जा सकता है।
व्यवहार में, इसका अर्थ यह है कि बोर्ड अब साइबर सुरक्षा का दायित्व किसी और को नहीं सौंप सकता। निदेशकों को चाहिए कि:
- तयजोखिम मूल्यांकन और उपायों को औपचारिक रूप से अनुमोदित करें और उस निर्णय को रिकॉर्ड करें।
- पर्यवेक्षणउपायों की स्थिति और घटनाओं पर नियमित रिपोर्ट प्राप्त करना।
- सीखनाप्रशिक्षण का पालन करें और अपने ज्ञान को अद्यतन रखें।
- का आवंटनसुनिश्चित करें कि पर्याप्त बजट, लोग और स्पष्ट भूमिकाएँ हों।
किसी निदेशक को व्यक्तिगत रूप से नुकसान के लिए उत्तरदायी ठहराया जा सकता है या नहीं, यह डच कंपनी कानून के सामान्य नियमों और मामले के तथ्यों पर निर्भर करता है। स्पष्ट निर्णय लेने की प्रक्रिया और दस्तावेज़ीकरण से यह साबित होता है कि बोर्ड ने अपनी भूमिका को गंभीरता से निभाया।
जुर्माना और अन्य परिणाम क्या हैं?
पर्यवेक्षक आवश्यक संस्थाओं पर 10 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार के 2% तक, और महत्वपूर्ण संस्थाओं पर 7 मिलियन यूरो तक या 1.4% तक, जो भी अधिक हो, जुर्माना लगा सकते हैं। ये अधिकतम राशियाँ हैं; वास्तविक जुर्माना उल्लंघन की गंभीरता और परिस्थितियों पर निर्भर करता है।
जुर्माना ही एकमात्र जोखिम नहीं है। पर्यवेक्षक आपको नियमों का पालन करवाने के लिए अन्य प्रवर्तन उपायों का भी उपयोग कर सकता है। एक गंभीर घटना ग्राहकों या व्यावसायिक भागीदारों से दावों, आपूर्तिकर्ताओं के साथ संविदात्मक परिणामों और प्रतिष्ठा को नुकसान पहुँचाने का कारण भी बन सकती है। इसलिए, अच्छी तैयारी आपको कई तरह से सुरक्षित रखती है।
आप चरण दर चरण NIS2 के अनुरूप कैसे बन सकते हैं?
सबसे पहले यह निर्धारित करें कि कानून आप पर लागू होता है या नहीं और किस प्रकार लागू होता है, फिर पंजीकरण करें, प्रशासनिक व्यवस्था स्थापित करें और अपने जोखिम मूल्यांकन के आधार पर आवश्यक उपाय करें। चूंकि कानून पहले से ही लागू है, इसलिए पहले बुनियादी दायित्वों को पूरा करना और फिर चरणबद्ध तरीके से सुधार करना उचित होगा।
नीचे दिए गए चरण एक व्यावहारिक क्रम प्रदान करते हैं। ये स्वयं में कोई कानूनी आवश्यकता नहीं हैं, लेकिन ये दायित्वों की संरचना का अनुसरण करते हैं।
चरण 1: कार्यक्षेत्र निर्धारित करें और पंजीकरण करें
सबसे पहले यह निर्धारित करें कि आपका संगठन इस योजना के अंतर्गत आता है या नहीं और क्या यह एक आवश्यक या महत्वपूर्ण संस्था है। आरडीआई स्व-मूल्यांकन उपकरण का उपयोग करें और अपने क्षेत्र, आकार और किसी भी समूह के साथ संबंधों की जांच करें।
इस चरण में दर्ज किए जाने वाले बिंदु:
- सेक्टरआपकी कौन सी गतिविधियाँ अठारह क्षेत्रों में से किसी एक के अंतर्गत आती हैं?
- आकारआपके कर्मचारियों की संख्या, कारोबार और कुल बैलेंस शीट, जिसमें साझेदार और संबद्ध उद्यम शामिल हैं।
- वर्गीकरणआप एक आवश्यक या महत्वपूर्ण इकाई हैं या नहीं, और कौन सा पर्यवेक्षक सक्षम है?
- पंजीकरणएनसीएससी में पंजीकरण कराना और उस पंजीकरण को अद्यतन रखना
चरण 2: शासन व्यवस्था स्थापित करें और जोखिमों का आकलन करें
अगला चरण, जिम्मेदारी तय करें और जोखिम मूल्यांकन करें। प्रबंधन निकाय मूल्यांकन और उपायों को मंजूरी देता है, इसलिए इसे शुरू से ही शामिल करें।
व्यावहारिक कदमों में निम्नलिखित शामिल हैं:
- भूमिकाओंसाइबर सुरक्षा के लिए जिम्मेदार व्यक्ति को नियुक्त करें और यह परिभाषित करें कि कौन बोर्ड को रिपोर्ट करेगा।
- इन्वेंटरीअपनी महत्वपूर्ण प्रक्रियाओं, प्रणालियों, डेटा और आपूर्तिकर्ताओं का मानचित्रण करें।
- जोखिम मूल्यांकनखतरों और कमजोरियों की पहचान करना और उनके संभावित प्रभाव का आकलन करना।
- प्रशिक्षणप्रबंधन निकाय और कर्मचारियों के लिए प्रशिक्षण की योजना बनाएं
चरण 3: घटनाओं की तैयारी और रिपोर्टिंग
अंत में, सुनिश्चित करें कि आप किसी घटना का पता लगा सकें, उसे संभाल सकें और समय पर उसकी रिपोर्ट कर सकें। 24 घंटे की समय सीमा संकट के दौरान प्रक्रिया पर विचार-विमर्श करने का कोई अवसर नहीं छोड़ती।
सुनिश्चित करें कि आपके पास ये हैं:
- घटना प्रतिक्रिया योजनाकिसी घटना के घटित होने पर कौन क्या करता है, जिसमें बाहरी विशेषज्ञ भी शामिल हैं।
- रिपोर्टिंग प्रक्रिया: कौन यह तय करता है कि कोई घटना महत्वपूर्ण है या नहीं, और कौन सीएसआईआरटी और पर्यवेक्षक को रिपोर्ट करता है।
- टेम्पलेट्सप्रारंभिक चेतावनी, अधिसूचना और अंतिम रिपोर्ट के लिए तैयार प्रारूप।
- परीक्षणनियमित अभ्यास और जांच करें कि आपके बैकअप और रिकवरी सिस्टम वास्तव में काम कर रहे हैं या नहीं।
घटनाओं, निर्णयों और रिपोर्टों का रिकॉर्ड रखें। यह रिकॉर्ड आपको रिपोर्टिंग संबंधी कर्तव्य निभाने में मदद करता है और पर्यवेक्षक को यह दर्शाता है कि आपने स्थिति को कैसे संभाला।
आप व्यवहार में NIS2 का प्रबंधन कैसे करते हैं?
NIS2 का अनुपालन कोई एक बार का प्रोजेक्ट नहीं है। खतरे, प्रणालियाँ और आपूर्तिकर्ता बदलते रहते हैं, इसलिए आपके जोखिम मूल्यांकन और उपायों की नियमित रूप से समीक्षा की जानी चाहिए। नीचे दिए गए व्यावहारिक प्रश्न अक्सर यह निर्धारित करते हैं कि दैनिक कार्यों में अनुपालन कारगर है या नहीं।
आप आपूर्तिकर्ताओं और अनुबंधों से कैसे निपटते हैं?
आपकी आपूर्ति श्रृंखला पर भी देखभाल का दायित्व लागू होता है, इसलिए आपको अपने आपूर्तिकर्ताओं और सेवा प्रदाताओं के साइबर सुरक्षा जोखिमों का प्रबंधन भी करना होगा। व्यवहार में, यह मुख्य रूप से अनुबंधों के माध्यम से किया जाता है।
आपूर्तिकर्ता अनुबंधों में जिन बिंदुओं पर ध्यान देना आवश्यक है, उनमें निम्नलिखित शामिल हैं:
- सुरक्षा आवश्यकताएँ: आपके जोखिम मूल्यांकन के अनुरूप आपूर्तिकर्ता को जो उपाय करने होंगे
- घटना की सूचनाआपूर्तिकर्ता को घटनाओं की जानकारी देने के लिए एक छोटी समयसीमा दी जाती है, ताकि आप अपनी रिपोर्टिंग की समयसीमा को पूरा कर सकें।
- लेखापरीक्षा और सूचनासूचना मांगने और अनुपालन की जांच करवाने का आपका अधिकार
- उपउपठेकेदारों के उपयोग और दायित्वों के हस्तांतरण संबंधी नियम
- दायित्व और समाप्तियदि आपूर्तिकर्ता नियमों का पालन करने में विफल रहता है तो क्या होगा, और आप संबंध कैसे समाप्त कर सकते हैं?
सबसे पहले अपने सबसे महत्वपूर्ण आईटी और सेवा प्रदाताओं के साथ मौजूदा अनुबंधों की समीक्षा करें। नए अनुबंधों में शुरुआत से ही मानक एनआईएस2 खंड शामिल किए जा सकते हैं।
आप अनुपालन को अद्यतन कैसे रखते हैं?
अपने जोखिम मूल्यांकन और उपायों की नियमित समीक्षा की योजना बनाएं और घटनाओं, अपनी प्रणालियों में बड़े बदलावों या अपने पर्यवेक्षक से मिले नए दिशा-निर्देशों के बाद उन्हें अपडेट करें। आंतरिक लेखापरीक्षा, अभ्यास या तकनीकी परीक्षणों के माध्यम से जांचें कि आपके उपाय प्रभावी हैं या नहीं।
व्यावहारिक कदमों में निम्नलिखित शामिल हैं:
- समीक्षा चक्र: जोखिम मूल्यांकन की समीक्षा के लिए बोर्ड द्वारा एक निश्चित समय निर्धारित करें, उदाहरण के लिए वर्ष में एक बार।
- सबक सीखाप्रत्येक घटना का विश्लेषण करें और आवश्यकतानुसार अपने उपायों में बदलाव करें।
- दस्तावेज़ीकरणअपनी नीतियों, निर्णयों और परीक्षा परिणामों को अद्यतन रखें, ताकि आप अपने पर्यवेक्षक को अपना कार्य दिखा सकें।
- निगरानीएनसीएससी और अपने सेक्टर सुपरवाइजर के निर्देशों का पालन करें।
बजट, कर्मचारियों और व्यक्तिगत डेटा के बारे में क्या?
अनुपालन के लिए लोगों, प्रक्रियाओं और प्रौद्योगिकी में निवेश आवश्यक है। कानून में कोई निश्चित राशि निर्धारित नहीं है: उपाय आपके आकार और जोखिमों के अनुपात में होने चाहिए। जोखिम मूल्यांकन पर बोर्ड के निर्णय में बजट को शामिल करें, ताकि जोखिमों और उपायों के बीच स्पष्ट संबंध स्थापित हो सके।
कई संगठनों को ऐसे विशेषज्ञ ज्ञान की भी आवश्यकता होती है जो उनके पास आंतरिक रूप से उपलब्ध नहीं होता है। बाहरी सहायता मददगार हो सकती है, लेकिन जिम्मेदारी आपके संगठन और उसके प्रबंधन निकाय की ही रहती है।
NIS2, जनरल डेटा प्रोटेक्शन रेगुलेशन (GDPR) के साथ भी ओवरलैप करता है। यदि किसी घटना में व्यक्तिगत डेटा शामिल है, तो डच डेटा प्रोटेक्शन अथॉरिटी ( Autoriteit Persoonsgegevens ) को अलग से सूचित करना आवश्यक हो सकता है। अपनी NIS2 प्रक्रिया को अपनी डेटा ब्रीच प्रक्रिया के साथ संरेखित करें, ताकि एक घटना दो अलग-अलग, असंगठित प्रक्रियाओं को जन्म न दे।
एक उदाहरण: एक मध्यम आकार की लॉजिस्टिक्स कंपनी, जिसमें 80 कर्मचारी हैं, को शुक्रवार शाम को अपने प्लानिंग सिस्टम पर रैंसमवेयर का पता चलता है। कंपनी की घटना योजना में उस व्यक्ति का नाम है जो यह तय करता है कि घटना गंभीर है या नहीं। वह व्यक्ति 24 घंटे के भीतर प्रारंभिक चेतावनी भेजता है, उसके बाद 72 घंटे के भीतर एक सूचना भेजता है और, क्योंकि ग्राहक डेटा प्रभावित हो सकता है, इसलिए यह भी आकलन करता है कि डेटा उल्लंघन की सूचना देना आवश्यक है या नहीं। अंतिम रिपोर्ट एक महीने के भीतर प्रस्तुत की जाती है।
ज़्यादातर पूछे जाने वाले सवाल
एनआईएस2 क्या है और यह नीदरलैंड में व्यवसायों को कैसे प्रभावित करता है?
NIS2 साइबर सुरक्षा पर यूरोपीय संघ का एक निर्देश है, जिसे नीदरलैंड में साइबर सुरक्षा अधिनियम ( Cyberbeveiligingswet ) द्वारा लागू किया गया है, जो 15 अगस्त 2026 से प्रभावी है। इसके दायरे में आने वाले संगठनों को NCSC के साथ पंजीकरण करना होगा, उचित सुरक्षा उपाय करने होंगे और निर्धारित समय सीमा के भीतर महत्वपूर्ण घटनाओं की रिपोर्ट करनी होगी।
नीदरलैंड में NIS2 से कौन से क्षेत्र प्रभावित हैं?
इसमें ऊर्जा, परिवहन, बैंकिंग, स्वास्थ्य सेवा, पेयजल, डिजिटल अवसंरचना, सार्वजनिक प्रशासन, विनिर्माण, अपशिष्ट प्रबंधन और डाक सेवाओं सहित अठारह क्षेत्र शामिल हैं। इन क्षेत्रों के अंतर्गत, यह कानून आम तौर पर उन संगठनों पर लागू होता है जिनमें कम से कम 50 कर्मचारी हों, या जिनका कुल कारोबार और बैलेंस शीट दोनों 10 मिलियन यूरो से अधिक हो।
एनआईएस2 का अनुपालन न करने के क्या परिणाम होंगे?
पर्यवेक्षक आवश्यक संस्थाओं पर 10 मिलियन यूरो तक या वैश्विक वार्षिक कारोबार के 2% तक, और महत्वपूर्ण संस्थाओं पर 7 मिलियन यूरो तक या 1.4% तक, जो भी अधिक हो, जुर्माना लगा सकते हैं। वे अन्य प्रवर्तन उपाय भी कर सकते हैं, और प्रबंधन निकाय को जवाबदेह ठहराया जा सकता है।
संगठन NIS2 अनुपालन के लिए कैसे तैयारी कर सकते हैं?
यह सुनिश्चित करें कि आप इस कानून के दायरे में आते हैं या नहीं, राष्ट्रीय राष्ट्रीय सुरक्षा परिषद (NCSC) में पंजीकरण कराएं, प्रबंधन निकाय से जोखिम मूल्यांकन और उपायों को मंजूरी दिलवाएं, कर्मचारियों और निदेशकों को प्रशिक्षण दें और घटना एवं रिपोर्टिंग प्रक्रिया तैयार करें। चूंकि कानून पहले से ही लागू है, इसलिए इन बुनियादी बातों से अभी शुरुआत करें।
सारांश में
- साइबर सुरक्षा अधिनियम, जो एनआईएस2 का डच कार्यान्वयन है, 15 अगस्त 2026 से अठारह क्षेत्रों में अनुमानित आठ हजार संगठनों पर लागू हो गया है।
- यदि आपके संगठन में कम से कम 50 कर्मचारी हैं, या आपका कुल कारोबार और बैलेंस शीट दोनों 10 मिलियन यूरो से अधिक हैं, तो आमतौर पर आपका संगठन इसके अंतर्गत आता है; कुछ प्रदाता आकार की परवाह किए बिना इसके अंतर्गत आते हैं।
- मुख्य दायित्वों में देखभाल का कर्तव्य, महत्वपूर्ण घटनाओं की रिपोर्टिंग (24 घंटे, 72 घंटे, एक महीने के भीतर) और एनसीएससी के साथ पंजीकरण शामिल हैं।
- प्रबंधन निकाय उपायों को मंजूरी देता है और उनकी निगरानी करता है, प्रशिक्षण का पालन करता है और उसे जवाबदेह ठहराया जा सकता है; आपूर्ति श्रृंखला की सुरक्षा काफी हद तक अनुबंधों के माध्यम से चलती है।
- आवश्यक संस्थाओं के लिए जुर्माना 10 मिलियन यूरो या वैश्विक कारोबार का 2% तक हो सकता है, और महत्वपूर्ण संस्थाओं के लिए यह 7 मिलियन यूरो या 1.4% तक हो सकता है।
क्या आप अपनी स्थिति को लेकर असमंजस में हैं? हमें अपनी स्थिति के बारे में बताएं। हम आपको एक कार्यदिवस के भीतर आपके विकल्पों के बारे में बता देंगे।
कैसे Law & More हम इस मामले में आपकी मदद कर सकते हैं, इसके बारे में हमारी वेबसाइट पर विस्तार से बताया गया है। आईटी वकील इस पृष्ठ पर ज़ूम कई वीडियो ट्यूटोरियल और अन्य साहायक साधन प्रदान करता है।
