NIS2 vs GDPR
NIS2 vs GDPR: toinen suojaa palveluiden kestävyyttä, toinen suojaa henkilötietoja. Monien yritysten on noudatettava molempia.
NIS2 vs GDPR on kysymys siitä, mitä kukin laki suojaa. GDPR suojaa yksilöiden henkilötietoja ja koskee lähes jokaista organisaatiota, joka käsittelee niitä. NIS2 suojaa verkkojen ja informaatiojärjestelmien turvallisuutta ja jatkuvuutta ja koskee organisaatioita luetelluilla sektoreilla, jotka ylittävät kokorajan.
Ne limittyvät, mutta toinen ei korvaa toista. Yritys luetellulla sektorilla voi kohdata molemmat säännöt yhtä aikaa, ja yksi tapaus, kuten henkilötietojen vuoto, voi aiheuttaa ilmoituksen kummankin lain nojalla. Tämä sivu on yleinen tieto, ei juridinen neuvo.
Rinnakkain
| Ominaisuus | NIS2 | GDPR |
|---|---|---|
| Koko nimi | Direktiivi (EU) 2022/2555 korkean yhteisen tietoturvatason mittauksista | Asetus (EU) 2016/679, yleinen tietosuoja-asetus |
| Mitä se suojaa | Verkkojen ja informaatiojärjestelmien sekä palveluiden turvallisuus ja jatkuvuus | Henkilötiedot ja yksilöiden oikeudet |
| Oikeudellinen muoto | Direktiivi, jokainen jäsenvaltio säätää oman kansallisen lakinsa | Asetus, soveltuu suoraan kaikissa jäsenvaltioissa |
| Kenelle se koskee | Välttämättömät ja tärkeät entiteetit luetelluilla sektoreilla, yleensä keskisuuret ja suuret | Jokainen organisaatio, joka käsittelee EU:n ihmisten henkilötietoja, kokoluokasta riippumatta |
| Ydintehtävät | Riskienhallintatoimenpiteet, toimitusketjun turvallisuus, johdon vastuu | Lakisääteinen peruste, datan minimointi, turvallisuus, rekisteröidyn oikeudet |
| Tapahtumaraportointi | Varoitus 24 tunnissa, ilmoitus 72 tunnissa, lopullinen raportti yhden kuukauden sisällä | Ilmoita tietosuojaviranomaiselle 72 tunnin kuluessa henkilötietovuodosta |
| Kenelle kerrotaan | Kansallinen kyberturvallisuusviranomainen tai CSIRT | Tietosuojaviranomainen ja vaikuttuneet yksilöt, kun riski on korkea |
| Maksimisakot | Jopa 10 miljoonaa euroa tai 2 % liikevaihdosta välttämättömille entiteeteille, 7 miljoonaa euroa tai 1,4 % tärkeille entiteeteille | Jopa 20 miljoonaa euroa tai 4 % maailmanlaajuisesta liikevaihdosta |
| Johdon vastuullisuus | Selkeä, johdon on hyväksyttävä ja valvottava toimenpiteitä | Organisaatio on vastuussa, ei erityistä johdon klausiaa |
Mitä kukin osaa parhaiten
NIS2
- Nostaa tietoturvan perustasoa koko sektoreissa
- Panee turvallisuusvastuun johdolle
- Kattaa toimitusketjun riskit
- Asettaa selkeät, nopeat tapahtumaraportointivaiheet
- Sovellus ja yksityiskohdat vaihtelevat jäsenvaltioiden välillä
- Koskee vain tiettyjä sektoreita ja kokoja
- Turvallisuustoimenpiteet on suunniteltava ja dokumentoitava
GDPR
- Antaa yksilöille vahvat, selkeät oikeudet
- Sovelletaan samalla tavalla koko EU:ssa
- Hyvin vakiintunut, vuosien ohjeistuksen kanssa
- Kattaa organisaatiot kaikista koista
- Fokusoi henkilötietoihin, ei kaikkiin järjestelmiin
- Turvasäännöt ovat laajoja eikä spesifejä
- Raskas dokumentointi ja suostumusvelvoitteet
Fokusoi NIS2:han, kun
- Toimit sektorilla, jonka direktiivi luettaa, kuten energia, kuljetus, terveys, digitaalinen infrastruktuuri tai keskeisten tuotteiden valmistus
- Olet keskisuuri tai suuri yritys, tai toimit sellaisen alihankkijana
- Palvelusi pysähtyminen vaikuttaisi asiakkaisiin tai yleisöön
- Asiakas vaatii toimitusketjun turvallisuustodistetta
- Hallituksesi tarvitsee näyttää, että se valvoo kyberriskiä
Fokusoi GDPR:ään, kun
- Keräät tai varastoit asiakas-, työntekijä- tai käyttäjätietoja
- Käytät verkkosivustoa, kauppaa tai sovellusta, jossa on tilejä tai seuranta
- Käytät prosessoijoita tai pilvipalveluita henkilötietojen käsittelyyn
- Ihmiset pyytävät nähdä, korjata tai poistaa tietonsa
- Olet pieni yritys NIS2-sektorien ulkopuolella
Asiakkaat kysyvät usein
Mikä on pääero NIS2:n ja GDPR:n välillä?
GDPR suojaa henkilötietoja. NIS2 suojaa järjestelmien ja palveluiden turvallisuutta ja jatkuvuutta.
Korvaako NIS2 GDPR:n?
Ei. Molemmat soveltuvat rinnakkain, ja yksi tapaus voi vaatia ilmoituksia kahdelle eri viranomaiselle.
Tarvitsevatko pienet yritykset noudattaa NIS2 vs GDPR?
GDPR koskee lähes jokaista organisaatiota, joka käsittelee henkilötietoja. NIS2 kattaa pääasiassa keskisuuret ja suuret entiteetit luetelluilla sektoreilla, vaikka jotkut pienemmätkin sisällytetään, joten tarkista kansallinen lakisi.
Milloin NIS2 alkoi soveltua?
Direktiivi tuli voimaan tammikuussa 2023, ja jäsenvaltioiden oli transponoitava se kansalliseen lakiin 17. lokakuuta 2024 mennessä. Edistyminen ja yksityiskohdat vaihtelevat maakohtaisesti.
Lisää aiheesta: vertailut
Et ole varma, miten tämä koskee sinua?
Kokenut insinööri käy läpi kohteen, hakukoneesi esiintymisen ja yhteydenottojen saannin, ja kirjoittaa kolme asiaa, jotka kannattaa korjata ensin. Pidät dokumentin joka tapauksessa.