Na Tom Meevis, wakili wa Law & More
Usalama wa mtandao si suala la kiufundi tena. Pia ni suala la kisheria na utawala linaloathiri karibu kila shirika la ukubwa wowote.
Kwa mujibu wa Maagizo ya Ulaya ya NIS2 na Sheria ya Usalama wa Mtandaoni ya Uholanzi, jukumu la ustahimilivu wa kidijitali linahamia kwa bodi ya usimamizi. Sheria ya Usalama wa Mtandaoni ya Uholanzi inaanza kutumika tarehe 15 Agosti 2026. Kwa hivyo, wamiliki wa biashara, wakurugenzi na maafisa wa kufuata sheria lazima waanzishe kwa muda mfupi:
- kama shirika lao linaangukia ndani ya wigo wa sheria mpya;
- ni majukumu gani yanayofuata kutoka kwao;
- ni hatua gani zinahitajika;
- na jinsi shirika linavyoweza kutimiza majukumu hayo.
Makala haya yanaelezea vipengele vikuu vya NIS2 na Sheria ya Usalama wa Mtandao ya Uholanzi: wigo, wajibu wa utunzaji, wajibu wa arifa, wajibu wa bodi, utekelezaji, na hatua ambazo mashirika yanaweza kuchukua sasa.
NIS2 ni nini?
NIS2 ni jina rasmi la Maagizo (EU) 2022/2555. Linafuata agizo la kwanza la mtandao na usalama wa habari la Ulaya, ambalo kwa ujumla hujulikana kama NIS1.
Nchi Wanachama zilihitajika kubadilisha NIS2 kuwa sheria ya kitaifa ifikapo tarehe 17 Oktoba 2024. Kuanzia tarehe 18 Oktoba 2024 NIS2 ilibadilisha rasmi agizo la awali.
Lengo lake ni kuinua na kusawazisha vyema kiwango cha ustahimilivu wa mtandao ndani ya Umoja wa Ulaya. Hii inaendana na mistari miwili mikuu. Kwanza, wigo mpana zaidi: mashirika mengi zaidi yanaangukia ndani ya sheria kuliko chini ya NIS1. Pili, usimamizi mkali na utekelezaji mkali zaidi, pamoja na zana pana na majukumu yaliyo wazi kwa wakurugenzi.
Pale ambapo NIS1 ilitofautisha kati ya waendeshaji wa huduma muhimu na watoa huduma za kidijitali, NIS2 inafanya kazi na vyombo muhimu na vyombo muhimu. Tofauti hiyo si ya istilahi tu: miongoni mwa mambo mengine huamua ukubwa wa usimamizi na kiwango cha faini zinazowezekana.
Ni mashirika gani yanayoangukia chini ya NIS2?
NIS2 inatumika kwa mashirika yanayofanya kazi katika sekta kumi na nane zilizoteuliwa, zilizogawanywa katika sekta zenye umuhimu mkubwa na sekta zingine muhimu.
Sekta zenye umuhimu mkubwa ni pamoja na nishati, usafiri, benki, miundombinu ya soko la fedha, huduma za afya, maji ya kunywa na maji machafu, miundombinu ya kidijitali, usimamizi wa huduma za TEHAMA kwa watumiaji wa biashara, utawala wa umma na nafasi.
Sekta zingine muhimu ni pamoja na huduma za posta na usafirishaji, usimamizi wa taka, kemikali, chakula, utengenezaji, watoa huduma za kidijitali na taasisi za utafiti.
Kizingiti cha ukubwa
Ndani ya sekta hizi, kanuni kuu ni kwamba shirika liwe chini ya NIS2 ambapo linastahili kuwa biashara ya ukubwa wa kati au kubwa. Vigezo ni angalau wafanyakazi 50, au jumla ya mauzo ya kila mwaka au mizania inayozidi EUR milioni 10.
Kuna tofauti katika sheria hii kuu. Baadhi ya mashirika yanaangukia ndani ya wigo bila kujali ukubwa, kwa sababu huduma zao zinachukuliwa kuwa muhimu sana:
- watoa huduma za mitandao na mawasiliano ya kielektroniki ya umma;
- watoa huduma za uaminifu;
- watoa huduma za usajili wa majina ya kikoa;
- sajili za majina ya kikoa za ngazi ya juu;
- mashirika ya sekta ya umma.
Kuanzia tarehe 15 Agosti 2026 majukumu mapya yanatumika kwa zaidi ya mashirika 8,000 nchini Uholanzi. Huo ni upanuzi mkubwa ikilinganishwa na idadi inayofunikwa na Sheria ya Usalama wa Mifumo ya Mtandao na Taarifa ya sasa.
Mashirika ambayo hapo awali hayakujiona kama sehemu ya sekta muhimu yanaweza kukamatwa, ikiwa ni pamoja na wazalishaji wa ukubwa wa kati, wazalishaji wa chakula, taasisi za utafiti na watoa huduma za kidijitali. Muhimu zaidi, mashirika yenyewe yanawajibika kutathmini kama yanaangukia ndani ya wigo. Hakuna barua kutoka kwa msimamizi itakayofika ikiwaambia hivyo.
Wajibu wa utunzaji: ni hatua gani zinahitajika?
Kiini cha NIS2 na Sheria ya Usalama wa Mtandao ya Uholanzi ni wajibu wa utunzaji. Vyombo muhimu na muhimu lazima vichukue hatua zinazofaa na zinazolingana za kiufundi, kiutendaji na za shirika ili kudhibiti hatari kwa mitandao yao na mifumo ya taarifa.
Sheria hizo hutambua watu ambao sera lazima iwashughulikie katika tukio lolote:
- uchambuzi wa hatari na sera ya usalama wa habari;
- utunzaji wa matukio;
- mwendelezo wa biashara, usimamizi wa akiba na uokoaji wa maafa;
- usalama wa mnyororo wa usambazaji;
- Usafi wa mtandao na mafunzo ya wafanyakazi;
- sera ya kushughulikia udhaifu;
- uthibitishaji wa vipengele vingi;
- mawasiliano salama;
- usimbaji fiche;
- tathmini ya mara kwa mara ya ufanisi wa hatua hizo.
Hatua hizo lazima zilingane na ukubwa wa shirika na hatari ambazo kwa kweli limekabiliwa nazo. Kwa hivyo, chombo kidogo muhimu hakihitaji kuchukua hatua sawa na chombo kikubwa muhimu katika sekta yenye hatari kubwa.
Hilo halifanyi wajibu wa utunzaji kuwa wa hiari. Mashirika lazima yaweze kuthibitisha ni hatari zipi walizozitambua, ni hatua zipi walizochukua na kwa nini hatua hizo zinafaa. Sio tu hatua zenyewe, bali pia jinsi zinavyopimwa, kurekodiwa na kutathminiwa mara kwa mara, ndizo zinazosimamiwa.
Ushuru wa arifa baada ya tukio
Pamoja na wajibu wa utunzaji, NIS2 huweka wajibu wa arifa wa awamu kwa matukio muhimu. Pale ambapo tukio lina au linaweza kuwa na athari kubwa katika mwendelezo wa huduma, tarehe za mwisho zifuatazo zinatumika kwa ujumla:
- ndani ya saa 24, onyo la mapema kwa timu ya kitaifa ya kukabiliana na matukio ya usalama wa kompyuta au mamlaka husika;
- ndani ya saa 72, taarifa rasmi yenye tathmini ya awali ya ukali na athari;
- ndani ya mwezi mmoja hivi karibuni, ripoti ya mwisho inayoelezea tukio hilo, chanzo chake kinachowezekana, hatua zilizochukuliwa na athari zozote za mpakani.
Tarehe hizi za mwisho hufanya iwe muhimu kuweka taratibu zilizo wazi mapema. Shirika lazima lijue wakati tukio linaweza kuarifiwa, ni nani aliyeidhinishwa kutoa taarifa, ni taarifa gani lazima zipatikane, ni nani anayeratibu, na jinsi bodi na msimamizi wanavyoarifiwa.
Shirika linalojaribu tu kuanzisha mchakato wa arifa wakati wa tukio lina hatari kubwa ya kutoweza kuripoti kwa wakati au kwa ukamilifu.
Wajibu wa bodi
Kipengele muhimu cha NIS2 ni kwamba jukumu la kusimamia hatari za mtandao linawekwa wazi kwa bodi ya usimamizi. Bodi lazima iidhinishe hatua za usalama, iangalie utekelezaji wake, iweze kutathmini hatari za mtandao za shirika, na ipate mafunzo ya kutosha yenyewe.
Kwa hivyo, usalama wa mtandao hauwezi tena kuchukuliwa kama jukumu la idara ya TEHAMA pekee. Ni mada ya utawala ambayo lazima iwe sehemu ya kufanya maamuzi ya mara kwa mara na usimamizi wa hatari.
Maagizo hayo pia yanashughulikia waziwazi dhima ya kibinafsi ya usimamizi mkuu pale ambapo shirika linashindwa kufuata. Kurekodi ushiriki wa bodi ipasavyo, kwa mfano kwa kuandika mafunzo yaliyofanywa, maamuzi ya bodi, sera zilizoidhinishwa, tathmini za hatari, kuripoti na usimamizi wa utekelezaji.
Utekelezaji wa Uholanzi
Utekelezaji wa NIS2 nchini Uholanzi umecheleweshwa sana. Tarehe ya mwisho ya mabadiliko ya tarehe 17 Oktoba 2024 haikufikiwa.
Mnamo tarehe 8 Julai 2026, Tume ya Ulaya iliamua kuipeleka Uholanzi, pamoja na Ireland, Uhispania na Ufaransa, kwenye Mahakama ya Haki ya Umoja wa Ulaya kwa kushindwa kutoa taarifa kuhusu hatua za mpito. Kwa hivyo, Uholanzi ilikuwa miongoni mwa nchi nne zilizo nyuma katika Umoja wa Ulaya.
Wakati unashangaza. Siku moja mapema, tarehe 7 Julai 2026, Seneti ilikuwa imeidhinisha Sheria ya Usalama wa Mtandao na Sheria ya Ustahimilivu wa Vyombo Muhimu. Ikiwa ukweli kwamba Sheria hiyo ilipitishwa kabla ya rufaa kutumwa unaathiri matokeo ya kesi bado haujaonekana; hilo ni jukumu la Mahakama kuamua.
Sheria zote mbili zinaanza kutumika tarehe 15 Agosti 2026. Sheria ya Usalama wa Mtandaoni inatekeleza Maagizo ya NIS2; Sheria ya Ustahimilivu wa Vyombo Muhimu inatekeleza Maagizo ya CER ya Ulaya, yenye lengo la ustahimilivu wa miundombinu muhimu. Mashirika yanayofunikwa na mwisho yatateuliwa rasmi kama vyombo muhimu kuanzia tarehe 15 Agosti 2026.
Sheria ya Usalama wa Mifumo ya Habari na Mitandao (Wbni) inapoanza kutumika, inakoma kutumika. Kwa mashirika ambayo tayari yamefunikwa nayo, hii ina maana ya majukumu mazito zaidi; kwa mashirika yanayoingia ndani ya wigo kwa mara ya kwanza, utawala mpya kabisa.
Usajili na NCSC
Jukumu jipya muhimu ni usajili na Kituo cha Kitaifa cha Usalama wa Mtandaoni. Vyombo muhimu na muhimu lazima viingizwe katika rejista ya vyombo vya kitaifa. Usajili huo ni wa lazima kuanzia tarehe 15 Agosti 2026 na unapitia lango la MijnNCSC, kwa kutumia eHerkenning kwa mashirika ya kawaida na SSOnRijk kwa mashirika ya sekta ya umma. Mabadiliko ya data iliyosajiliwa lazima yaripotiwe ndani ya siku kumi na nne.
Usajili si utaratibu wa kiutawala tu. Mara tu baada ya kusajiliwa, mashirika yanaweza kuunganishwa na huduma za CSIRT yao, ambayo hutoa bidhaa na huduma ili kuongeza ustahimilivu pamoja na usaidizi iwapo tukio litatokea. Tayarisha usajili kwa wakati unaofaa, ili utekelezaji usianze tu baada ya kuanza kutumika.
Usimamizi na utekelezaji
Sheria ya Usalama wa Mtandao inatoa mfumo tofauti wa usimamizi. Vyombo muhimu viko chini ya usimamizi wa makini: msimamizi anaweza kuangalia kila mara na kwa hiari yake mwenyewe, bila tukio au ishara yoyote maalum. Vyombo muhimu viko chini ya usimamizi wa makini, ambapo msimamizi kimsingi anafanya kazi kujibu tukio, malalamiko au ishara nyingine dhahiri.
Usimamizi umegawanywa katika mamlaka kadhaa. Kuanzia tarehe 15 Agosti 2026, Mamlaka ya Miundombinu ya Kidijitali ya Uholanzi inasimamia mashirika katika sekta tisa; wasimamizi wengine wameteuliwa kwa sekta zingine. Amua ni msimamizi gani anayefaa kwa shirika lako.
Zana ya utekelezaji ni pana na inajumuisha:
- ukaguzi wa usalama au ukaguzi wa usalama;
- maelekezo ya kufunga;
- amri ya utekelezaji wa utawala au amri inayopaswa kulipwa faini;
- uchapishaji wa ukiukaji;
- faini ya kiutawala;
- kwa vyombo muhimu: kusimamishwa kwa cheti, idhini au mjumbe wa bodi.
Kwa vyombo muhimu, faini ya juu zaidi ni angalau EUR milioni 10 au 2% ya jumla ya mauzo ya kila mwaka duniani kote, yoyote iliyo juu zaidi. Kwa vyombo muhimu ni angalau EUR milioni 7 au 1.4% ya mauzo ya kila mwaka duniani kote, tena yoyote iliyo juu zaidi. Kiwango cha mwisho hutegemea hali ya kesi, ikiwa ni pamoja na asili, uzito na muda wa ukiukaji, kiwango cha hatia na hatua zilizochukuliwa.
Shirika lako linaweza kufanya nini sasa?
- Fanya tathmini binafsi. Amua kama shirika linafanya kazi katika sekta iliyoteuliwa na linakidhi kizingiti cha ukubwa.
- Amua kategoria sahihi. Amua kama shirika linastahili kuwa chombo muhimu au muhimu, na ni msimamizi gani anayestahili.
- Tayarisha usajili. Kusanya data inayohitajika kwa ajili ya usajili na NCSC kupitia MijnNCSC.
- Jaribu hatua za wajibu wa utunzaji. Tathmini hatua zilizopo kuhusu uchambuzi wa hatari, mwitikio wa matukio, mwendelezo wa biashara, usalama wa mnyororo wa ugavi, usafi wa mtandao, udhaifu, uthibitishaji wa vipengele vingi na usimbaji fiche.
- Weka utaratibu wa kutoa taarifa. Andika ni nani anayetathmini kama tukio linaweza kuarifiwa, ni nani anayetoa taarifa, na jinsi tarehe za mwisho za saa 24, saa 72 na mwezi mmoja zinavyotimizwa.
- Ihusishe bodi kwa uwazi. Andika maamuzi ambayo bodi imechukua, mafunzo gani yamefanywa na jinsi usimamizi wa utekelezaji unavyotekelezwa.
- Jumuisha mnyororo wa ugavi. Sehemu kubwa ya udhaifu hutokea si ndani ya shirika lenyewe bali kwa wasambazaji na watoa huduma. Pitia mikataba yako kuhusu mipango ya usalama, wajibu wa arifa na haki za ukaguzi.
Katika kufungwa
Sheria ya Usalama wa Mtandaoni na Sheria ya Ustahimilivu wa Mashirika Muhimu zinawakilisha uimarishaji mkubwa wa majukumu ya usalama wa mtandao. Wigo mpana zaidi, hatua madhubuti za utunzaji, tarehe za mwisho za kutoa taarifa, uwajibikaji binafsi kwa wakurugenzi na zana kubwa ya utekelezaji inamaanisha mashirika hayawezi kuacha mada hii kando. Kwa kuanza kutumika tarehe 15 Agosti 2026, muda wa maandalizi ni mfupi.
Law & More Husaidia biashara, wakurugenzi na maafisa wa uzingatiaji sheria katika kubaini nafasi zao chini ya NIS2 na Sheria ya Usalama wa Mtandao ya Uholanzi, kuanzisha na kupima hatua za wajibu wa utunzaji, kuandaa usajili na NCSC, na kuingiza sera ya usalama wa mtandao kisheria.
Ungependa msimamo wa shirika lako chini ya sheria mpya utathminiwe? Tafadhali jisikie huru kuwasiliana nasi kwa majadiliano bila wajibu.
Maswali yanayoulizwa mara kwa mara
Hapa chini tunajibu maswali tunayoulizwa mara nyingi kuhusu mada hii.
Sheria ya Usalama wa Mtandaoni ya Uholanzi inaanza kutumika lini?
Mnamo tarehe 15 Agosti 2026. Seneti iliidhinisha Sheria ya Usalama wa Mtandao na Sheria ya Ustahimilivu wa Vyombo Muhimu mnamo tarehe 7 Julai 2026. Sheria ya sasa ya Usalama wa Mifumo ya Mtandao na Taarifa (Wbni) inaisha.
Je, shirika langu linaangukia chini ya NIS2?
Hilo linategemea sekta yako na ukubwa wako. NIS2 inashughulikia sekta kumi na nane zilizoteuliwa na, ndani ya sekta hizo, kama sheria kuu mashirika yenye angalau wafanyakazi 50 au mauzo ya kila mwaka au jumla ya mizania inayozidi EUR milioni 10. Baadhi ya wahusika hufunikwa bila kujali ukubwa.
Je, nitaarifiwa ikiwa shirika langu liko katika wigo?
Hapana. Mashirika yenyewe yanawajibika kutathmini kama yanaangukia chini ya Sheria ya Usalama wa Mtandao. Kusubiri kuna hatari ya majukumu ya kuomba kabla ya tathmini kufanywa.
Kuna tofauti gani kati ya kitu muhimu na kitu muhimu?
Huamua ukubwa wa usimamizi na kiwango cha faini zinazowezekana. Vyombo muhimu vinakabiliwa na usimamizi wa awali, ambapo msimamizi anaweza kujiangalia mwenyewe. Vyombo muhimu vinakabiliwa na usimamizi wa awali, unaosababishwa na tukio, malalamiko au ishara nyingine.
Jukumu la utunzaji linahusisha nini?
Kuchukua hatua zinazofaa na zinazolingana za kiufundi, kiutendaji na kiutendaji ili kudhibiti hatari kwa mtandao wako na mifumo ya taarifa, ikishughulikia masuala kama vile uchambuzi wa hatari, utunzaji wa matukio, mwendelezo wa biashara, usalama wa mnyororo wa ugavi, usafi wa mtandao, udhaifu, uthibitishaji wa vipengele vingi na usimbaji fiche. Lazima uweze kuthibitisha kwa nini hatua zilizochaguliwa zinafaa.
Ni tarehe gani za mwisho za arifa zinazotumika baada ya tukio?
Onyo la mapema ndani ya saa 24, arifa rasmi ndani ya saa 72 pamoja na tathmini ya awali ya ukali na athari, na ripoti ya mwisho ndani ya mwezi mmoja hivi karibuni. Panga mchakato wa arifa mapema.
Je, shirika langu linapaswa kujisajili?
Ndiyo. Usajili katika rejista ya taasisi ya kitaifa ni lazima kuanzia tarehe 15 Agosti 2026 na unapitia MijnNCSC, kwa kutumia eHerkenning au, kwa mashirika ya sekta ya umma, SSDonRijk. Mabadiliko lazima yaripotiwe ndani ya siku kumi na nne. Ukishasajiliwa unaweza kuunganisha kwenye huduma za CSIRT yako.
Ni jukumu gani linalobaki kwa bodi?
Bodi lazima iidhinishe hatua za usalama, iangalie utekelezaji wake, iweze kutathmini hatari za mtandao na kupitia mafunzo yenyewe. Maagizo hayo yanashughulikia dhima ya kibinafsi ya usimamizi mkuu kwa kutofuata sheria, kwa hivyo kurekodi maamuzi, mafunzo na usimamizi kwa njia dhahiri.
Faini hizo ni za juu kiasi gani?
Kwa vyombo muhimu angalau EUR milioni 10 au 2% ya mauzo ya kila mwaka duniani kote; kwa vyombo muhimu angalau EUR milioni 7 au 1.4%, katika kila kisa chochote kilicho juu zaidi. Kiwango cha mwisho hutegemea mambo ikiwa ni pamoja na asili, uzito na muda wa ukiukaji na kiwango cha hatia.
Nani anasimamia uzingatiaji wa sheria?
Hilo hutofautiana kulingana na sekta. Kuanzia tarehe 15 Agosti 2026, Mamlaka ya Miundombinu ya Kidijitali ya Uholanzi inasimamia mashirika katika sekta tisa; wasimamizi wengine wameteuliwa kwa sekta zingine. Amua ni msimamizi gani anayefaa kwa shirika lako.
Kwa nini Uholanzi imepelekwa katika Mahakama ya Haki?
Kwa ajili ya kuchelewa kwa uhamisho wa NIS2. Mnamo tarehe 8 Julai 2026, Tume ya Ulaya iliamua kuipeleka Uholanzi, pamoja na Ireland, Uhispania na Ufaransa, kwa Mahakama ya Haki kwa kushindwa kuarifu hatua za uhamisho. Ukweli kwamba Sheria ya Usalama wa Mtandao ilipitishwa siku moja mapema yenyewe haukomeshi kesi hizo.
Je, hii inawahusu wasambazaji wangu pia?
Usalama wa mnyororo wa ugavi ni mojawapo ya mada za wajibu wa utunzaji. Sehemu kubwa ya udhaifu hutokea kwa wasambazaji na watoa huduma. Pitia mikataba yako kuhusu mipango ya usalama, wajibu wa arifa na haki za ukaguzi.
