NIS2 vs GDPR
NIS2 jämfört med GDPR: den ena skyddar tjänsters motståndskraft, den andra skyddar personuppgifter. Många företag måste följa båda.
NIS2 vs GDPR är en fråga om vad respektive lag skyddar. GDPR skyddar personuppgifter och gäller nästan alla organisationer som hanterar sådana. NIS2 skyddar säkerheten och kontinuiteten i nätverk och informationssystem och gäller organisationer inom listade sektorer över en viss storlek.
De överlappar, men den ena ersätter inte den andra. Ett företag i en omfattad sektor kan möta båda regelverken samtidigt, och en enda incident, till exempel ett intrång som involverar personuppgifter, kan utlösa rapportering enligt båda. Denna sida är allmän information, inte juridisk rådgivning.
Sida vid sida
| Kompetens | NIS2 | GDPR |
|---|---|---|
| Fullständigt namn | Direktiv (EU) 2022/2555 om åtgärder för en hög gemensam cybersäkerhetsnivå | Förordning (EU) 2016/679, dataskyddsförordningen |
| Vad det skyddar | Säkerhet och kontinuitet för nätverk och informationssystem och tjänster | Personuppgifter och enskildas rättigheter |
| Juridisk form | Direktiv, varje medlemsstat antar sin egen nationella lag | Förordning, gäller direkt i alla medlemsstater |
| Vem omfattas | Väsentliga och viktiga enheter i listade sektorer, i allmänhet medelstora och stora | Alla organisationer som hanterar personuppgifter för personer i EU, oavsett storlek |
| Huvudsakliga uppgifter | Riskhanteringsåtgärder, leverantörskedjans säkerhet, ledningens ansvar | Rättslig grund, dataminimering, säkerhet, registrerades rättigheter |
| Incidentrapportering | Tidig varning inom 24 timmar, anmälan inom 72 timmar, slutrapport inom en månad | Anmäl personuppgiftsincident till dataskyddsmyndigheten inom 72 timmar |
| Vem informeras | Nationell cybersäkerhetsmyndighet eller CSIRT | Dataskyddsmyndigheten, och drabbade personer när risken är hög |
| Maximala böter | Upp till 10 miljoner euro eller 2 % av omsättningen för väsentliga enheter, 7 miljoner euro eller 1,4 % för viktiga enheter | Upp till 20 miljoner EUR eller 4 % av global omsättning |
| Ledningsansvar | Explicit, ledningen måste godkänna och övervaka åtgärder | Organisationen är ansvarig, ingen specifik ledningsklausul |
Vad var och en är bra på
NIS2
- Höjer säkerhetsribban i hela sektorer
- Lägger säkerhetsansvaret på ledningen
- Täcker risker i leveranskedjan
- Fastställer tydliga, snabba steg för incidentrapportering
- Omfattning och detaljer skiljer sig mellan medlemsstater
- Gäller endast vissa sektorer och storlekar
- Kräver att säkerhetsåtgärder planeras och dokumenteras
GDPR
- Ger individer starka, tydliga rättigheter
- Gäller på samma sätt inom hela EU
- Väletablerad, med många års vägledning
- Omfattar organisationer av alla storlekar
- Fokuserar på personuppgifter, inte alla system
- Säkerhetsreglerna är breda snarare än specifika
- Omfattande dokumentations- och samtyckesplikt
Fokusera på NIS2 när
- Du verkar i en sektor som direktivet listar, till exempel energi, transport, hälsa, digital infrastruktur eller tillverkning av kritiska varor
- Du är ett medelstort eller stort företag, eller levererar till ett
- Om din tjänst går ner skulle det påverka kunder eller allmänheten
- En kund begär bevis på leverantörskedjans säkerhet
- Din styrelse behöver visa att den övervakar cyberrisker
Fokusera på GDPR när
- Du samlar in eller lagrar kund-, medarbetar- eller användardata
- Du driver en webbplats, butik eller app med konton eller spårning
- Du använder personuppgiftsbiträden eller molntjänster för personuppgifter
- Personer begär att få se, rätta eller radera sina uppgifter
- Du är ett litet företag utanför NIS2-sektorerna
Frågor folk ställer
Vad är den största skillnaden mellan NIS2 och GDPR?
Ersätter NIS2 GDPR?
Behöver små företag följa NIS2 vs GDPR?
När började NIS2 gälla?
Osäker på hur detta gäller dig?
En senior ingenjör går igenom din webbplats, din synlighet i sök och hur förfrågningar når dig, och skriver sedan ner de tre saker som är mest värda att åtgärda först. Du behåller dokumentet oavsett.