NIS2 vs GDPR
NIS2 vs GDPR: jedno chrání odolnost služeb, druhé chrání osobní údaje. Mnoho firem musí dodržovat obojí.
NIS2 vs GDPR je otázkou toho, co který zákon chrání. GDPR chrání osobní údaje jednotlivců a vztahuje se na téměř každou organizaci, která s nimi pracuje. NIS2 chrání bezpečnost a kontinuitu síťových a informačních systémů a vztahuje se na organizace v uvedených odvětvích nad velikostním prahem.
Překrývají se, ale jeden nenahrazuje druhý. Firma v dotčeném odvětví může čelit oběma předpisům současně a jedna incident, například únik zahrnující osobní údaje, může vyvolat povinnost hlásit podle obou předpisů. Tato stránka poskytuje obecné informace, nikoli právní poradenství.
Vedle sebe
| Možnost | NIS2 | GDPR |
|---|---|---|
| Celé jméno | Směrnice (EU) 2022/2555 o opatřeních k zajištění vysoké společné úrovně kybernetické bezpečnosti | Nařízení (EU) 2016/679, obecné nařízení o ochraně osobních údajů |
| Co chrání | Bezpečnost a kontinuitu sítí a informačních systémů a služeb | Osobní údaje a práva jednotlivců |
| Právní forma | Směrnice, každý členský stát přijímá vlastní národní legislativu | Nařízení, platí přímo ve všech členských státech |
| Koho se týká | Podstatné a důležité subjekty v uvedených odvětvích, zpravidla střední a velké podniky | Jakákoli organizace, která zpracovává osobní údaje osob v EU, bez ohledu na velikost |
| Hlavní povinnosti | Opatření pro řízení rizik, bezpečnost dodavatelského řetězce, odpovědnost vedení | Právní základ, minimalizace údajů, zabezpečení, práva subjektů údajů |
| Hlášení incidentů | Včasné varování do 24 hodin, oznámení do 72 hodin, závěrečná zpráva do jednoho měsíce | Oznámit úřadu pro ochranu osobních údajů do 72 hodin od úniku osobních údajů |
| Komu se hlásí | Národnímu orgánu pro kybernetickou bezpečnost nebo CSIRT | Úřadu pro ochranu osobních údajů a při vysokém riziku i dotčeným jednotlivcům |
| Maximální pokuty | Až 10 milionů EUR nebo 2 % obratu u podstatných subjektů, 7 milionů EUR nebo 1,4 % u důležitých subjektů | Až 20 milionů EUR nebo 4 % celosvětového obratu |
| Odpovědnost vedení | Výslovná, vedení musí opatření schválit a dohlížet na ně | Odpovědná je organizace, žádná specifická klauzule o vedení |
V čem je každá možnost silná
NIS2
- Zvyšuje bezpečnostní standard napříč celými odvětvími
- Přenáší odpovědnost za bezpečnost na vedení
- Pokrývá riziko dodavatelského řetězce
- Stanoví jasné a rychlé kroky pro hlášení incidentů
- Rozsah a podrobnosti se mezi členskými státy liší
- Vztahuje se pouze na určitá odvětví a velikosti podniků
- Vyžaduje plánované a zdokumentované bezpečnostní kroky
GDPR
- Dává jednotlivcům silná a jasná práva
- Platí stejně v celé EU
- Dobře zavedené, s řadou let metodických pokynů
- Pokrývá organizace všech velikostí
- Zaměřuje se na osobní údaje, ne na všechny systémy
- Bezpečnostní pravidla jsou spíše obecná než konkrétní
- Náročná dokumentace a povinnosti týkající se souhlasu
Zaměřte se na NIS2, pokud
- Působíte v odvětví uvedeném ve směrnici, jako je energetika, doprava, zdravotnictví, digitální infrastruktura nebo výroba klíčového zboží
- Jste střední nebo velká firma, nebo takové firmě dodáváte
- Jste střední nebo velký podnik, nebo dodáváte takovému podniku
- Klient požaduje důkaz o zabezpečení dodavatelského řetězce
- Vaše vedení musí prokázat, že dohlíží na kybernetická rizika
Zaměřte se na GDPR, pokud
- Sbíráte nebo ukládáte údaje zákazníků, zaměstnanců nebo uživatelů
- Provozujete web, e-shop nebo aplikaci s účty či sledovacími technologiemi
- Pro osobní údaje využíváte zpracovatele nebo cloudové služby
- Lidé žádají o nahlédnutí, opravu nebo vymazání svých údajů
- Jste malý podnik mimo odvětví spadající pod NIS2
Otázky, které se lidé ptají
Jaký je hlavní rozdíl mezi NIS2 a GDPR?
GDPR chrání osobní údaje. NIS2 chrání bezpečnost a kontinuitu systémů a služeb.
Nahrazuje NIS2 GDPR?
Ne. Obě platí vedle sebe a jeden incident může vyžadovat hlášení dvěma různým úřadům.
Musí se malé firmy řídit pravidly NIS2 a GDPR?
GDPR se vztahuje téměř na každou organizaci, která zpracovává osobní údaje. NIS2 pokrývá hlavně střední a velké subjekty v uvedených odvětvích, i když některé menší jsou zahrnuty, proto si ověřte svůj národní zákon.
Kdy začala platit NIS2?
Směrnice vstoupila v platnost v lednu 2023 a členské státy ji musely transponovat do národního práva do 17. října 2024. Pokrok a podrobnosti se v jednotlivých zemích liší.
Nejste si jistí, jak se to týká vás?
Zkušený inženýr projde váš web, vaši viditelnost ve vyhledávání a způsob, jakým se k vám dostávají poptávky, a poté sepíše tři věci, které je vhodné opravit jako první. Dokument si ponecháte tak jako tak.