NIS2 vs GDPR
NIS2 vs GDPR: én beskytter motstandsdyktigheten til tjenester, den andre beskytter personopplysninger. Mange selskaper må følge begge.
NIS2 vs GDPR er et spørsmål om hva hver lov beskytter. GDPR beskytter personopplysningene til enkeltpersoner og gjelder for nesten enhver virksomhet som behandler dem. NIS2 beskytter sikkerheten og kontinuiteten til nettverks- og informasjonssystemer og gjelder for virksomheter i listede sektorer over en størrelsesterskel.
De overlapper, men den ene erstatter ikke den andre. En virksomhet i en omfattet sektor kan møte begge regelverkene samtidig, og én hendelse, for eksempel et brudd som involverer personopplysninger, kan utløse rapportering etter begge. Denne siden er generell informasjon, ikke juridisk rådgivning.
Side om side
| Kompetanse | NIS2 | GDPR |
|---|---|---|
| Fullt navn | Direktiv (EU) 2022/2555 om tiltak for et høyt felles cybersikkerhetsnivå | Forordning (EU) 2016/679, personvernforordningen |
| Hva det beskytter | Sikkerhet og kontinuitet i nettverk og informasjonssystemer og -tjenester | Personopplysninger og enkeltpersoners rettigheter |
| Juridisk form | Direktiv, hver medlemsstat vedtar sin egen nasjonale lov | Regulering, gjelder direkte i alle medlemsland |
| Hvem er dekket | Essensielle og viktige virksomheter i listede sektorer, vanligvis mellomstore og store | Enhver organisasjon som behandler personopplysninger om personer i EU, uansett størrelse |
| Kjerneoppgaver | Risikostyringstiltak, forsyningskjedens sikkerhet, ledelsens ansvar | Rettslig grunnlag, dataminimering, sikkerhet, registrertes rettigheter |
| Hendelsesrapportering | Tidlig varsling innen 24 timer, melding innen 72 timer, sluttrapport innen én måned | Meld fra til Datatilsynet innen 72 timer ved brudd på personopplysningssikkerheten |
| Hvem får beskjed | Nasjonal cybersikkerhetsmyndighet eller CSIRT | Datatilsynet, og berørte personer når risikoen er høy |
| Maksimale bøter | Opptil 10 millioner euro eller 2 % av omsetningen for essensielle virksomheter, 7 millioner euro eller 1,4 % for viktige virksomheter | Opptil 20 millioner euro eller 4 % av global omsetning |
| Ledelsesansvar | Eksplisitt, ledelsen må godkjenne og følge opp tiltak | Organisasjonen er ansvarlig, ingen spesifikk ledelsesklausul |
Hva hver av dem er god på
NIS2
- Hever sikkerhetsgrunnlinjen i hele sektorer
- Legger sikkerhetsansvaret på ledelsen
- Dekker risiko i leverandørkjeden
- Fastsetter klare, raske trinn for hendelsesrapportering
- Omfang og detaljer varierer mellom medlemsland
- Gjelder bare visse sektorer og størrelser
- Krever at sikkerhetstiltak planlegges og dokumenteres
GDPR
- Gir enkeltpersoner sterke, tydelige rettigheter
- Gjelder på samme måte i hele EU
- Veletablert, med mange års veiledning
- Dekker organisasjoner i alle størrelser
- Fokuserer på personopplysninger, ikke alle systemer
- Sikkerhetskravene er generelle snarere enn spesifikke
- Mye dokumentasjon og samtykkeplikter
Fokuser på NIS2 når
- Du opererer i en sektor direktivet lister opp, som energi, transport, helse, digital infrastruktur eller produksjon av kritiske varer
- Du er en mellomstor eller stor bedrift, eller leverer til en
- At tjenesten din går ned vil påvirke kunder eller allmennheten
- En kunde ber om dokumentasjon på forsyningskjedens sikkerhet
- Styret ditt må vise at det overvåker cyberrisiko
Fokuser på GDPR når
- Du samler inn eller lagrer kunde-, ansatt- eller brukerdata
- Du driver et nettsted, en nettbutikk eller en app med kontoer eller sporing
- Du bruker databehandlere eller skytjenester for personopplysninger
- Folk ber om å se, rette eller slette dataene sine
- Du er en liten bedrift utenfor NIS2-sektorene
Spørsmål folk stiller
Hva er hovedforskjellen mellom NIS2 og GDPR?
Erstatter NIS2 GDPR?
Må små bedrifter følge NIS2 vs GDPR?
Når begynte NIS2 å gjelde?
Usikker på hvordan dette gjelder deg?
En senioringeniør går gjennom nettstedet ditt, synligheten din i søk og måten henvendelser når deg på, og skriver deretter ned de tre tingene som er verdt å fikse først. Du beholder dokumentet uansett.