โดย ทอม มีวิส ทนายความ Law & More
ความปลอดภัยทางไซเบอร์ไม่ใช่เรื่องทางเทคนิคเพียงอย่างเดียวอีกต่อไป แต่ยังเป็นประเด็นทางกฎหมายและการกำกับดูแลที่ส่งผลกระทบต่อองค์กรแทบทุกขนาดด้วย
ด้วยคำสั่ง NIS2 ของสหภาพยุโรปและกฎหมายความมั่นคงทางไซเบอร์ของเนเธอร์แลนด์ ความรับผิดชอบด้านความยืดหยุ่นทางดิจิทัลจึงตกอยู่กับคณะกรรมการบริหารอย่างเต็มตัว กฎหมายความมั่นคงทางไซเบอร์ของเนเธอร์แลนด์จะมีผลบังคับใช้ในวันที่ 15 สิงหาคม 2026 ดังนั้น เจ้าของธุรกิจ กรรมการ และเจ้าหน้าที่ฝ่ายปฏิบัติตามกฎระเบียบจึงต้องจัดตั้งสิ่งต่อไปนี้ในระยะเวลาอันสั้น:
- องค์กรของพวกเขาเข้าข่ายอยู่ภายใต้กฎระเบียบใหม่หรือไม่
- ซึ่งเป็นภาระผูกพันที่เกิดขึ้นจากสิ่งเหล่านั้น
- ต้องใช้มาตรการใดบ้าง
- และองค์กรจะสามารถปฏิบัติตามพันธะเหล่านั้นได้อย่างไร
บทความนี้จะกล่าวถึงองค์ประกอบหลักของ NIS2 และกฎหมายความมั่นคงทางไซเบอร์ของเนเธอร์แลนด์ ได้แก่ ขอบเขต หน้าที่ในการดูแล หน้าที่ในการแจ้งเตือน ความรับผิดชอบของคณะกรรมการ การบังคับใช้ และขั้นตอนที่องค์กรสามารถดำเนินการได้ในขณะนี้
NIS2 คืออะไร?
NIS2 คือชื่ออย่างเป็นทางการของคำสั่ง (EU) 2022/2555 ซึ่งเป็นคำสั่งที่ต่อจากคำสั่งด้านความปลอดภัยเครือข่ายและข้อมูลของยุโรปฉบับแรก ซึ่งโดยทั่วไปเรียกว่า NIS1
ประเทศสมาชิกต้องนำ NIS2 ไปปรับใช้เป็นกฎหมายภายในประเทศภายในวันที่ 17 ตุลาคม 2024 และตั้งแต่วันที่ 18 ตุลาคม 2024 เป็นต้นไป NIS2 จะเข้ามาแทนที่คำสั่งเดิมอย่างเป็นทางการ
จุดมุ่งหมายคือการยกระดับและปรับปรุงความยืดหยุ่นทางไซเบอร์ภายในสหภาพยุโรปให้ดียิ่งขึ้น ซึ่งดำเนินการในสองแนวทางหลัก ประการแรก คือ ขอบเขตที่กว้างขึ้น: มีองค์กรจำนวนมากที่อยู่ภายใต้กฎระเบียบนี้มากกว่าภายใต้ NIS1 ประการที่สอง คือ การกำกับดูแลที่เข้มงวดขึ้นและการบังคับใช้ที่เข้มงวดกว่าเดิม พร้อมด้วยเครื่องมือที่หลากหลายขึ้นและความรับผิดชอบที่ชัดเจนยิ่งขึ้นสำหรับกรรมการบริษัท
ในขณะที่ NIS1 แยกแยะระหว่างผู้ให้บริการที่จำเป็นและผู้ให้บริการดิจิทัล NIS2 ทำงานร่วมกับหน่วยงานที่จำเป็นและหน่วยงานที่สำคัญ การแยกแยะนี้ไม่ใช่เพียงแค่คำศัพท์เท่านั้น แต่ยังเป็นตัวกำหนดความเข้มข้นของการกำกับดูแลและระดับของค่าปรับที่อาจเกิดขึ้นด้วย
องค์กรใดบ้างที่อยู่ภายใต้ NIS2?
NIS2 ใช้กับองค์กรที่ดำเนินงานใน 18 ภาคส่วนที่กำหนดไว้ ซึ่งแบ่งออกเป็นภาคส่วนที่มีความสำคัญสูงและภาคส่วนสำคัญอื่นๆ
ภาคส่วนที่มีความสำคัญสูง ได้แก่ พลังงาน การขนส่ง การธนาคาร โครงสร้างพื้นฐานตลาดการเงิน การดูแลสุขภาพ น้ำดื่มและน้ำเสีย โครงสร้างพื้นฐานดิจิทัล การจัดการบริการไอซีทีสำหรับผู้ใช้ทางธุรกิจ การบริหารราชการ และอวกาศ
ภาคส่วนสำคัญอื่นๆ ได้แก่ บริการไปรษณีย์และจัดส่งพัสดุ การจัดการขยะ สารเคมี อาหาร การผลิต ผู้ให้บริการดิจิทัล และสถาบันวิจัย
เกณฑ์ขนาด
ในกลุ่มอุตสาหกรรมเหล่านี้ หลักเกณฑ์หลักคือ องค์กรจะจัดอยู่ในประเภท NIS2 ได้ก็ต่อเมื่อมีคุณสมบัติเป็นวิสาหกิจขนาดกลางหรือขนาดใหญ่ โดยมีเกณฑ์คือ มีพนักงานอย่างน้อย 50 คน หรือมีรายได้ต่อปีหรือมูลค่าสินทรัพย์รวมในงบดุลเกิน 10 ล้านยูโร
อย่างไรก็ตาม มีข้อยกเว้นสำหรับกฎหลักนี้ องค์กรบางแห่งจะอยู่ในขอบเขตนี้โดยไม่คำนึงถึงขนาด เนื่องจากบริการของพวกเขาถือว่ามีความสำคัญเป็นพิเศษ:
- ผู้ให้บริการเครือข่ายและบริการการสื่อสารอิเล็กทรอนิกส์สาธารณะ;
- ผู้ให้บริการด้านความไว้วางใจ;
- ผู้ให้บริการจดทะเบียนชื่อโดเมน;
- หน่วยงานจดทะเบียนชื่อโดเมนระดับสูงสุด;
- หน่วยงานภาครัฐ
ตั้งแต่วันที่ 15 สิงหาคม 2026 ข้อกำหนดใหม่นี้จะมีผลบังคับใช้กับองค์กรกว่า 8,000 แห่งในประเทศเนเธอร์แลนด์ ซึ่งนับเป็นการขยายขอบเขตอย่างมากเมื่อเทียบกับจำนวนองค์กรที่อยู่ภายใต้กฎหมายว่าด้วยความปลอดภัยของระบบเครือข่ายและสารสนเทศฉบับปัจจุบัน
ดังนั้น องค์กรที่ก่อนหน้านี้ไม่ได้มองว่าตนเองเป็นส่วนหนึ่งของภาคส่วนที่สำคัญ อาจตกอยู่ภายใต้ขอบเขตนี้ได้ รวมถึงผู้ผลิตขนาดกลาง ผู้ผลิตอาหาร สถาบันวิจัย และผู้ให้บริการด้านดิจิทัล ที่สำคัญคือ องค์กรเหล่านั้นต้องรับผิดชอบในการประเมินว่าตนเองอยู่ในขอบเขตหรือไม่ จะไม่มีจดหมายจากผู้บังคับบัญชาส่งไปแจ้งให้ทราบ
หน้าที่ในการดูแล: ต้องใช้มาตรการใดบ้าง?
หัวใจสำคัญของ NIS2 และกฎหมายความมั่นคงทางไซเบอร์ของเนเธอร์แลนด์ คือ หน้าที่ในการดูแลรักษาความปลอดภัย หน่วยงานที่จำเป็นและสำคัญต้องใช้มาตรการทางเทคนิค การปฏิบัติงาน และการจัดการองค์กรที่เหมาะสมและได้สัดส่วน เพื่อบริหารจัดการความเสี่ยงต่อเครือข่ายและระบบสารสนเทศของตน
กฎระเบียบดังกล่าวระบุถึงหัวข้อที่นโยบายต้องกล่าวถึงไม่ว่าในกรณีใดก็ตาม:
- การวิเคราะห์ความเสี่ยงและนโยบายความปลอดภัยของข้อมูล;
- การจัดการเหตุการณ์;
- การดำเนินธุรกิจอย่างต่อเนื่อง การจัดการสำรองข้อมูล และการกู้คืนระบบหลังภัยพิบัติ
- ความปลอดภัยของห่วงโซ่อุปทาน;
- สุขอนามัยทางไซเบอร์และการฝึกอบรมบุคลากร
- นโยบายการจัดการช่องโหว่;
- การตรวจสอบสิทธิ์แบบหลายปัจจัย;
- การสื่อสารที่ปลอดภัย;
- การเข้ารหัสลับ;
- การประเมินประสิทธิผลของมาตรการเป็นระยะ
มาตรการต่างๆ ต้องมีความเหมาะสมกับขนาดขององค์กรและความเสี่ยงที่องค์กรนั้นเผชิญอยู่จริง ดังนั้น องค์กรขนาดเล็กที่มีความสำคัญจึงไม่จำเป็นต้องใช้มาตรการเดียวกันกับองค์กรขนาดใหญ่ที่มีความสำคัญในภาคส่วนที่มีความเสี่ยงสูง
นั่นไม่ได้หมายความว่าหน้าที่ในการดูแลเอาใจใส่เป็นเรื่องที่ไม่จำเป็น องค์กรต้องสามารถพิสูจน์ได้ว่าได้ระบุความเสี่ยงอะไรบ้าง ได้ดำเนินการอะไรบ้าง และเหตุใดมาตรการเหล่านั้นจึงเหมาะสม ไม่เพียงแต่มาตรการเหล่านั้นเองเท่านั้น แต่รวมถึงวิธีการชั่งน้ำหนัก บันทึก และประเมินผลเป็นระยะๆ ก็อยู่ภายใต้การกำกับดูแลด้วย
หน้าที่ในการแจ้งเตือนหลังเกิดเหตุการณ์
นอกเหนือจากหน้าที่ในการดูแลแล้ว NIS2 ยังกำหนดหน้าที่ในการแจ้งเตือนเป็นระยะสำหรับเหตุการณ์สำคัญ ในกรณีที่เหตุการณ์ใด ๆ มีหรืออาจมีผลกระทบอย่างมากต่อความต่อเนื่องของการให้บริการ กำหนดเวลาต่อไปนี้จะมีผลบังคับใช้โดยทั่วไป:
- ภายใน 24 ชั่วโมง จะต้องมีการแจ้งเตือนล่วงหน้าไปยังทีมรับมือเหตุการณ์ด้านความปลอดภัยทางคอมพิวเตอร์ระดับชาติ หรือหน่วยงานที่เกี่ยวข้อง
- ภายใน 72 ชั่วโมง จะมีการแจ้งอย่างเป็นทางการพร้อมการประเมินเบื้องต้นเกี่ยวกับความรุนแรงและผลกระทบ
- ภายในหนึ่งเดือนอย่างช้าที่สุด จะต้องส่งรายงานฉบับสุดท้ายที่อธิบายถึงเหตุการณ์ สาเหตุที่เป็นไปได้ มาตรการที่ดำเนินการ และผลกระทบข้ามพรมแดนใดๆ
กำหนดเวลาเหล่านี้ทำให้จำเป็นต้องกำหนดขั้นตอนที่ชัดเจนล่วงหน้า องค์กรต้องทราบว่าเหตุการณ์ใดที่ต้องแจ้งให้ทราบ ใครมีอำนาจในการแจ้ง ข้อมูลใดบ้างที่ต้องมี ใครเป็นผู้ประสานงาน และคณะกรรมการและผู้บังคับบัญชาจะได้รับแจ้งอย่างไร
องค์กรที่พยายามจัดตั้งกระบวนการแจ้งเตือนเฉพาะเมื่อเกิดเหตุการณ์ขึ้นแล้วเท่านั้น มีความเสี่ยงอย่างมากที่จะไม่สามารถรายงานได้ทันเวลาหรือครบถ้วน
ความรับผิดชอบของคณะกรรมการ
องค์ประกอบสำคัญอย่างหนึ่งของ NIS2 คือ การมอบความรับผิดชอบในการจัดการความเสี่ยงด้านไซเบอร์ให้กับคณะกรรมการบริหารอย่างชัดเจน คณะกรรมการต้องอนุมัติมาตรการรักษาความปลอดภัย กำกับดูแลการดำเนินการ ประเมินความเสี่ยงด้านไซเบอร์ขององค์กร และเข้ารับการฝึกอบรมอย่างเพียงพอด้วย
ดังนั้น ความปลอดภัยทางไซเบอร์จึงไม่สามารถถือเป็นความรับผิดชอบของแผนกไอทีเพียงอย่างเดียวอีกต่อไป แต่เป็นประเด็นด้านการกำกับดูแลที่ต้องเป็นส่วนหนึ่งของการตัดสินใจและการจัดการความเสี่ยงในชีวิตประจำวัน
คำสั่งดังกล่าวยังระบุอย่างชัดเจนถึงความรับผิดส่วนบุคคลของผู้บริหารระดับสูงในกรณีที่องค์กรไม่ปฏิบัติตาม ให้บันทึกการมีส่วนร่วมของคณะกรรมการอย่างเหมาะสม เช่น การบันทึกการฝึกอบรมที่ดำเนินการ การตัดสินใจของคณะกรรมการ นโยบายที่ได้รับอนุมัติ การประเมินความเสี่ยง การรายงาน และการกำกับดูแลการดำเนินการ
การนำไปใช้ในเนเธอร์แลนด์
การนำระบบ NIS2 มาใช้ในเนเธอร์แลนด์ล่าช้าอย่างมาก ไม่สามารถปฏิบัติตามกำหนดเส้นตายวันที่ 17 ตุลาคม 2024 ได้
เมื่อวันที่ 8 กรกฎาคม 2569 คณะกรรมาธิการยุโรปได้ตัดสินใจส่งเรื่องเนเธอร์แลนด์ พร้อมกับไอร์แลนด์ สเปน และฝรั่งเศส ขึ้นศาลยุติธรรมแห่งสหภาพยุโรป เนื่องจากไม่แจ้งมาตรการการถ่ายทอดกฎหมาย เนเธอร์แลนด์จึงอยู่ในกลุ่มประเทศที่ล่าช้าที่สุด 4 ประเทศของสหภาพยุโรป
จังหวะเวลานั้นน่าสนใจเป็นอย่างยิ่ง หนึ่งวันก่อนหน้านั้น คือวันที่ 7 กรกฎาคม 2026 วุฒิสภาได้อนุมัติกฎหมายว่าด้วยความมั่นคงทางไซเบอร์และกฎหมายว่าด้วยความยืดหยุ่นของหน่วยงานสำคัญแล้ว ว่าข้อเท็จจริงที่ว่ากฎหมายดังกล่าวได้รับการอนุมัติก่อนที่จะมีการส่งเรื่องไปยังศาลจะมีผลต่อผลลัพธ์ของกระบวนการพิจารณาคดีหรือไม่นั้น ยังคงต้องรอดูกันต่อไป ซึ่งนั่นเป็นหน้าที่ของศาลที่จะตัดสิน
กฎหมายทั้งสองฉบับจะมีผลบังคับใช้ในวันที่ 15 สิงหาคม 2026 กฎหมายว่าด้วยความมั่นคงปลอดภัยทางไซเบอร์ (Cybersecurity Act) เป็นการนำเอาคำสั่ง NIS2 มาใช้ ในขณะที่กฎหมายว่าด้วยความยืดหยุ่นของหน่วยงานสำคัญ (Critical Entities Resilience Act) เป็นการนำเอาคำสั่ง CER ของยุโรปมาใช้ โดยมีเป้าหมายเพื่อเสริมสร้างความยืดหยุ่นของโครงสร้างพื้นฐานที่สำคัญ องค์กรที่อยู่ภายใต้กฎหมายฉบับหลังนี้จะได้รับการกำหนดอย่างเป็นทางการว่าเป็นหน่วยงานสำคัญตั้งแต่วันที่ 15 สิงหาคม 2026 เป็นต้นไป
เมื่อกฎหมายฉบับนี้มีผลบังคับใช้ กฎหมายว่าด้วยความปลอดภัยของระบบเครือข่ายและสารสนเทศ (WBNI) ฉบับปัจจุบันจะหมดอายุลง สำหรับองค์กรที่อยู่ภายใต้กฎหมายฉบับนี้อยู่แล้ว หมายความว่าจะต้องปฏิบัติตามข้อกำหนดที่หนักขึ้น ส่วนองค์กรที่เพิ่งเข้ามาอยู่ภายใต้กฎหมายฉบับนี้เป็นครั้งแรก จะต้องปฏิบัติตามกฎระเบียบใหม่ทั้งหมด
การลงทะเบียนกับ NCSC
ข้อกำหนดใหม่ที่สำคัญคือการลงทะเบียนกับศูนย์ความปลอดภัยทางไซเบอร์แห่งชาติ หน่วยงานที่จำเป็นและสำคัญจะต้องได้รับการลงทะเบียนในทะเบียนหน่วยงานระดับชาติ การลงทะเบียนนี้เป็นข้อบังคับตั้งแต่วันที่ 15 สิงหาคม 2026 และดำเนินการผ่านทางพอร์ทัล MijnNCSC โดยใช้ eHerkenning สำหรับองค์กรทั่วไป และ SSOnRijk สำหรับหน่วยงานภาครัฐ การเปลี่ยนแปลงข้อมูลที่ลงทะเบียนไว้จะต้องแจ้งให้ทราบภายในสิบสี่วัน
การลงทะเบียนไม่ใช่เพียงแค่ขั้นตอนทางธุรการเท่านั้น เมื่อลงทะเบียนแล้ว องค์กรต่างๆ สามารถเชื่อมต่อกับบริการของ CSIRT ซึ่งมีผลิตภัณฑ์และบริการเพื่อเพิ่มความยืดหยุ่น ตลอดจนให้การสนับสนุนในกรณีเกิดเหตุการณ์ฉุกเฉิน เตรียมการลงทะเบียนให้พร้อมล่วงหน้า เพื่อให้การดำเนินการไม่เริ่มต้นหลังจากที่กฎหมายมีผลบังคับใช้แล้ว
การกำกับดูแลและการบังคับใช้
พระราชบัญญัติความมั่นคงทางไซเบอร์กำหนดระบบการกำกับดูแลที่แตกต่างกัน หน่วยงานที่จำเป็นจะอยู่ภายใต้การกำกับดูแลเชิงรุก: ผู้กำกับดูแลอาจตรวจสอบอย่างต่อเนื่องและตามความคิดริเริ่มของตนเอง โดยไม่จำเป็นต้องมีเหตุการณ์หรือสัญญาณเฉพาะใดๆ ส่วนหน่วยงานที่สำคัญจะอยู่ภายใต้การกำกับดูแลเชิงรับ ซึ่งโดยหลักการแล้วผู้กำกับดูแลจะดำเนินการตอบสนองต่อเหตุการณ์ ข้อร้องเรียน หรือสัญญาณเฉพาะอื่นๆ
การกำกับดูแลแบ่งออกเป็นหลายหน่วยงาน ตั้งแต่วันที่ 15 สิงหาคม 2569 หน่วยงานกำกับดูแลโครงสร้างพื้นฐานดิจิทัลของเนเธอร์แลนด์จะกำกับดูแลองค์กรใน 9 ภาคส่วน โดยมีหน่วยงานกำกับดูแลอื่น ๆ รับผิดชอบภาคส่วนอื่น ๆ ตรวจสอบว่าหน่วยงานใดมีอำนาจหน้าที่รับผิดชอบองค์กรของคุณ
ชุดเครื่องมือในการบังคับใช้กฎหมายนั้นครอบคลุมหลากหลายและประกอบด้วย:
- การสแกนความปลอดภัยหรือการตรวจสอบความปลอดภัย;
- คำสั่งที่มีผลผูกพัน;
- คำสั่งบังคับใช้ทางปกครองหรือคำสั่งที่ต้องชำระค่าปรับ;
- การเผยแพร่การละเมิดลิขสิทธิ์;
- ค่าปรับทางปกครอง;
- สำหรับหน่วยงานที่จำเป็น: การระงับใบรับรอง การอนุญาต หรือการดำรงตำแหน่งกรรมการ
สำหรับองค์กรธุรกิจที่สำคัญ ค่าปรับสูงสุดไม่ต่ำกว่า 10 ล้านยูโร หรือ 2% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า สำหรับองค์กรธุรกิจที่มีความสำคัญ ค่าปรับไม่ต่ำกว่า 7 ล้านยูโร หรือ 1.4% ของรายได้รวมทั่วโลกต่อปี แล้วแต่จำนวนใดจะสูงกว่า ระดับของค่าปรับสุดท้ายขึ้นอยู่กับสถานการณ์ของแต่ละกรณี รวมถึงลักษณะ ความร้ายแรง และระยะเวลาของการละเมิด ระดับความผิด และมาตรการที่ดำเนินการ
องค์กรของคุณสามารถทำอะไรได้บ้างในตอนนี้?
- ทำการประเมินตนเอง ตรวจสอบว่าองค์กรดำเนินกิจกรรมในภาคส่วนที่กำหนดหรือไม่ และมีขนาดตรงตามเกณฑ์ที่กำหนดหรือไม่
- กำหนดประเภทที่ถูกต้อง ตรวจสอบว่าองค์กรนั้นมีคุณสมบัติเป็นหน่วยงานที่จำเป็นหรือสำคัญหรือไม่ และผู้บังคับบัญชาคนใดมีความสามารถเหมาะสม
- เตรียมการลงทะเบียน รวบรวมข้อมูลที่จำเป็นสำหรับการลงทะเบียนกับ NCSC ผ่านทาง MijnNCSC
- ทดสอบมาตรการความรับผิดชอบ ประเมินมาตรการที่มีอยู่เกี่ยวกับการวิเคราะห์ความเสี่ยง การตอบสนองต่อเหตุการณ์ การดำเนินธุรกิจอย่างต่อเนื่อง ความปลอดภัยของห่วงโซ่อุปทาน สุขอนามัยทางไซเบอร์ ช่องโหว่ การตรวจสอบสิทธิ์แบบหลายปัจจัย และการเข้ารหัส
- จัดตั้งกระบวนการแจ้งเตือน บันทึกว่าใครเป็นผู้ประเมินว่าเหตุการณ์นั้นควรแจ้งหรือไม่ ใครเป็นผู้แจ้ง และวิธีการปฏิบัติตามกำหนดเวลา 24 ชั่วโมง 72 ชั่วโมง และหนึ่งเดือน
- ให้คณะกรรมการมีส่วนร่วมอย่างเป็นรูปธรรม บันทึกการตัดสินใจของคณะกรรมการ การฝึกอบรมที่ได้ดำเนินการ และวิธีการกำกับดูแลการดำเนินงาน
- รวมถึงห่วงโซ่อุปทานด้วย ช่องโหว่จำนวนมากไม่ได้เกิดขึ้นภายในองค์กรเอง แต่เกิดขึ้นที่ซัพพลายเออร์และผู้ให้บริการ ตรวจสอบสัญญาของคุณเกี่ยวกับข้อตกลงด้านความปลอดภัย หน้าที่ในการแจ้งเตือน และสิทธิ์ในการตรวจสอบ
ในการปิด
พระราชบัญญัติความมั่นคงทางไซเบอร์และพระราชบัญญัติความยืดหยุ่นของหน่วยงานสำคัญ เป็นการเพิ่มความเข้มงวดของข้อกำหนดด้านความมั่นคงทางไซเบอร์อย่างมาก ขอบเขตที่กว้างขึ้น มาตรการดูแลที่ชัดเจน กำหนดเวลาแจ้งที่เข้มงวด ความรับผิดชอบส่วนบุคคลของกรรมการ และเครื่องมือบังคับใช้ที่ครอบคลุม หมายความว่าองค์กรต่างๆ ไม่สามารถละเลยเรื่องนี้ได้ เนื่องจากมีผลบังคับใช้ในวันที่ 15 สิงหาคม 2026 เวลาเตรียมตัวจึงเหลือน้อยแล้ว
Law & More ให้ความช่วยเหลือแก่ธุรกิจ กรรมการ และเจ้าหน้าที่ฝ่ายปฏิบัติตามกฎระเบียบในการพิจารณาบทบาทของตนภายใต้ NIS2 และกฎหมายว่าด้วยความปลอดภัยทางไซเบอร์ของเนเธอร์แลนด์ การจัดตั้งและทดสอบมาตรการดูแลความปลอดภัย การเตรียมการลงทะเบียนกับ NCSC และการผนวกนโยบายความปลอดภัยทางไซเบอร์เข้ากับกฎหมายอย่างถูกต้อง
คุณต้องการให้เราประเมินสถานะขององค์กรของคุณภายใต้กฎระเบียบใหม่หรือไม่ โปรดติดต่อเราเพื่อขอคำปรึกษาโดยไม่มีข้อผูกมัดใดๆ
คำถามที่พบบ่อย
ด้านล่างนี้คือคำตอบของคำถามที่พบบ่อยที่สุดเกี่ยวกับเรื่องนี้
กฎหมายว่าด้วยความปลอดภัยทางไซเบอร์ของเนเธอร์แลนด์จะมีผลบังคับใช้เมื่อใด?
เมื่อวันที่ 15 สิงหาคม 2026 วุฒิสภาได้อนุมัติกฎหมายว่าด้วยความมั่นคงปลอดภัยทางไซเบอร์ และเมื่อวันที่ 7 กรกฎาคม 2026 กฎหมายว่าด้วยความยืดหยุ่นของหน่วยงานสำคัญ ได้อนุมัติกฎหมายดังกล่าว เมื่อกฎหมายนี้มีผลบังคับใช้ กฎหมายว่าด้วยความมั่นคงปลอดภัยของระบบเครือข่ายและสารสนเทศ (WBNI) ฉบับปัจจุบันจะหมดอายุลง
องค์กรของฉันเข้าข่ายตาม NIS2 หรือไม่?
ขึ้นอยู่กับภาคธุรกิจและขนาดธุรกิจของคุณ NIS2 ครอบคลุม 18 ภาคธุรกิจที่กำหนดไว้ และภายในภาคธุรกิจเหล่านั้น หลักเกณฑ์หลักคือองค์กรที่มีพนักงานอย่างน้อย 50 คน หรือมีรายได้ต่อปีหรือยอดรวมในงบดุลเกิน 10 ล้านยูโร อย่างไรก็ตาม บางองค์กรก็อยู่ภายใต้ขอบเขตของ NIS2 โดยไม่คำนึงถึงขนาดธุรกิจ
ฉันจะได้รับการแจ้งเตือนหรือไม่ หากองค์กรของฉันอยู่ในขอบเขตการตรวจสอบ?
ไม่ องค์กรต่างๆ มีหน้าที่รับผิดชอบในการประเมินว่าตนเองอยู่ภายใต้พระราชบัญญัติความปลอดภัยทางไซเบอร์หรือไม่ การรออาจทำให้ข้อผูกพันมีผลบังคับใช้ก่อนที่จะมีการประเมินเสร็จสิ้น
อะไรคือความแตกต่างระหว่างสิ่งที่เป็นสาระสำคัญและสิ่งที่สำคัญ?
กฎระเบียบนี้เป็นตัวกำหนดความเข้มข้นของการกำกับดูแลและระดับของค่าปรับที่อาจเกิดขึ้น หน่วยงานที่สำคัญจะอยู่ภายใต้การกำกับดูแลเชิงรุก ซึ่งผู้กำกับดูแลอาจตรวจสอบได้ด้วยตนเอง ในขณะที่หน่วยงานที่สำคัญจะอยู่ภายใต้การกำกับดูแลเชิงรับ ซึ่งจะเกิดขึ้นเมื่อมีเหตุการณ์ ข้อร้องเรียน หรือสัญญาณอื่น ๆ เกิดขึ้น
หน้าที่ในการดูแลนั้นครอบคลุมอะไรบ้าง?
การใช้มาตรการทางเทคนิค การปฏิบัติงาน และการจัดการองค์กรที่เหมาะสมและได้สัดส่วนเพื่อจัดการความเสี่ยงต่อเครือข่ายและระบบสารสนเทศของคุณ ครอบคลุมเรื่องต่างๆ เช่น การวิเคราะห์ความเสี่ยง การจัดการเหตุการณ์ ความต่อเนื่องทางธุรกิจ ความปลอดภัยของห่วงโซ่อุปทาน สุขอนามัยทางไซเบอร์ ช่องโหว่ การตรวจสอบสิทธิ์แบบหลายปัจจัย และการเข้ารหัส คุณต้องสามารถชี้แจงได้ว่าเหตุใดมาตรการที่เลือกจึงเหมาะสม
มีกำหนดเวลาแจ้งผลอะไรบ้างหลังจากเกิดเหตุการณ์?
ระบบแจ้งเตือนล่วงหน้าควรมีการแจ้งเตือนภายใน 24 ชั่วโมง แจ้งอย่างเป็นทางการภายใน 72 ชั่วโมง พร้อมการประเมินความรุนแรงและผลกระทบเบื้องต้น และรายงานสรุปภายในหนึ่งเดือนอย่างช้าที่สุด ควรตั้งค่ากระบวนการแจ้งเตือนล่วงหน้า
องค์กรของฉันต้องลงทะเบียนหรือไม่?
ใช่ การลงทะเบียนในทะเบียนหน่วยงานระดับชาติเป็นข้อบังคับตั้งแต่วันที่ 15 สิงหาคม 2026 และดำเนินการผ่าน MijnNCSC โดยใช้ eHerkenning หรือสำหรับหน่วยงานภาครัฐ ใช้ SSOnRijk การเปลี่ยนแปลงจะต้องรายงานภายในสิบสี่วัน เมื่อลงทะเบียนแล้ว คุณสามารถเชื่อมต่อกับบริการของ CSIRT ได้
คณะกรรมการมีหน้าที่รับผิดชอบอะไรบ้าง?
คณะกรรมการต้องอนุมัติมาตรการรักษาความปลอดภัย กำกับดูแลการดำเนินการ ประเมินความเสี่ยงทางไซเบอร์ และเข้ารับการฝึกอบรมด้วยตนเอง คำสั่งนี้กล่าวถึงความรับผิดส่วนบุคคลของผู้บริหารระดับสูงในกรณีที่ไม่ปฏิบัติตาม ดังนั้นจึงต้องบันทึกการตัดสินใจ การฝึกอบรม และการกำกับดูแลไว้อย่างชัดเจน
ค่าปรับสูงแค่ไหน?
สำหรับหน่วยงานที่จำเป็น ต้องวางเงินประกันอย่างน้อย 10 ล้านยูโร หรือ 2% ของยอดขายประจำปีทั่วโลก สำหรับหน่วยงานที่สำคัญ ต้องวางเงินประกันอย่างน้อย 7 ล้านยูโร หรือ 1.4% แล้วแต่จำนวนใดจะสูงกว่า โดยระดับเงินประกันสุดท้ายขึ้นอยู่กับปัจจัยหลายประการ รวมถึงลักษณะ ความร้ายแรง และระยะเวลาของการละเมิด ตลอดจนระดับความผิด
ใครเป็นผู้กำกับดูแลการปฏิบัติตามกฎระเบียบ?
เรื่องนี้แตกต่างกันไปตามแต่ละภาคส่วน ตั้งแต่วันที่ 15 สิงหาคม 2569 หน่วยงานกำกับดูแลโครงสร้างพื้นฐานดิจิทัลของเนเธอร์แลนด์จะกำกับดูแลองค์กรใน 9 ภาคส่วน ส่วนภาคส่วนอื่นๆ จะมีหน่วยงานกำกับดูแลอื่น ๆ โปรดตรวจสอบว่าหน่วยงานใดมีอำนาจหน้าที่สำหรับองค์กรของคุณ
เหตุใดประเทศเนเธอร์แลนด์จึงถูกส่งเรื่องไปยังศาลยุติธรรม?
เนื่องจากการบังคับใช้ NIS2 ล่าช้า เมื่อวันที่ 8 กรกฎาคม 2026 คณะกรรมาธิการยุโรปได้ตัดสินใจส่งเรื่องเนเธอร์แลนด์พร้อมกับไอร์แลนด์ สเปน และฝรั่งเศส ขึ้นศาลยุติธรรมแห่งยุโรป เนื่องจากไม่แจ้งมาตรการการบังคับใช้ ข้อเท็จจริงที่ว่ากฎหมายว่าด้วยความมั่นคงทางไซเบอร์ได้รับการอนุมัติหนึ่งวันก่อนหน้านั้น ไม่ได้ทำให้กระบวนการดังกล่าวสิ้นสุดลงแต่อย่างใด
กฎนี้ใช้กับซัพพลายเออร์ของฉันด้วยหรือไม่?
ความปลอดภัยของห่วงโซ่อุปทานเป็นหนึ่งในหัวข้อที่ต้องคำนึงถึงเป็นสำคัญ ความเสี่ยงส่วนใหญ่เกิดขึ้นจากซัพพลายเออร์และผู้ให้บริการ ตรวจสอบสัญญาของคุณเกี่ยวกับข้อตกลงด้านความปลอดภัย หน้าที่ในการแจ้งเตือน และสิทธิ์ในการตรวจสอบ
