Ionduchtú soláthraithe faoi NIS2: cad a éilíonn alt 30 BSIG maidir leis an slabhra soláthair?

Déanann an tAcht BSI, arna leasú leis an Acht chun Treoir NIS2 a thrasuí (iris dlí cónaidhme na Gearmáine, BGBl. 2025 I Uimh. 301), idirdhealú idir eintitis bhunriachtanacha agus eintitis thábhachtacha (alt 28 BSIG). Is é an cineál eintitis atá liostaithe in Iarscríbhinní 1 agus 2 – mar shampla fuinneamh, iompar, airgeadas, seirbhísí poist agus cúiréireachta nó déantúsaíocht – agus a mhéid atá cinntitheach.

Is eintiteas bunriachtanach é eintiteas atá liostaithe in Iarscríbhinn 1 ó 250 fostaí ar aghaidh, nó má tá láimhdeachas bliantúil níos mó ná €50 milliún aige agus, ag an am céanna, clár comhardaithe iomlán níos mó ná €43 milliún. Is eintiteas tábhachtach é eintiteas atá liostaithe in Iarscríbhinn 1 nó 2 ó 50 fostaí ar aghaidh, nó má tá láimhdeachas agus clár comhardaithe iomlán níos mó ná €10 milliún an ceann aige. Tagann roinnt eintiteas, amhail oibreoirí saoráidí criticiúla, faoi raon feidhme an Achta beag beann ar a méid.

Ní gá do sholáthraithe teacht faoin Acht iad féin chun a éifeachtaí a mhothú: ní mór dá gcustaiméirí slándáil an chaidrimh soláthair a léiriú, agus dá bhrí sin cuireann siad na ceanglais ar aghaidh chucu.

Liostaítear in alt 30(2) deich mbeart nach mór a bheith mar chuid den bhainistíocht riosca ar a laghad. Luann uimhir 4 slándáil an tslabhra soláthair, lena n-áirítear na gnéithe slándála den chaidreamh le soláthraithe díreacha nó le soláthraithe seirbhíse. Cuireann uimhir 5 bearta slándála le linn fála, forbartha agus cothabhála leis, lena n-áirítear láimhseáil agus nochtadh leochaileachtaí.

Tá Treoir (AE) 2022/2555 níos sainiúla anseo: faoi Airteagal 21(3), cuireann eintitis san áireamh na leochaileachtaí a bhaineann go sonrach le gach soláthraí díreach, chomh maith le cáilíocht fhoriomlán na dtáirgí agus na gcleachtas cibearshlándála atá ag a soláthraithe. Ní atáirgtear an mhír seo focal ar fhocal in Acht na Gearmáine; tagraíonn an meabhrán míniúcháin (doiciméad clóite an Bundestag, BT-Drucksache 21/1501) di sna nótaí ar alt 30.

Ní fhorordaíonn an tAcht ceistiúchán seasta. Tá ceithre chéim cruthaithe úsáideach: soláthraithe a rangú de réir criticiúlachta (cé na sonraí, córais agus próisis a mbaineann siad leo?), íoscheanglais a leagan síos do gach leibhéal, comhlíonadh a sheiceáil i gcoinne fianaise agus an toradh a chomhdú ionas gur féidir é a thíolacadh le linn iniúchta.

Clúdaíonn ceanglais thipiciúla cosaint rochtana ar nós fíordheimhniú ilfhachtóireach, criptiú, bainistíocht leochaileachtaí agus paistí, ullmhacht éigeandála, bealaí tuairiscithe do theagmhais slándála agus deimhnithe ar nós ISO/IEC 27001. Má phróiseálann an soláthraí sonraí pearsanta thar do cheann, cuirtear an comhaontú faoi Airteagal 28 de GDPR leis sin.

Ní rud aon uaire é an t-athbhreithniú: téann deimhnithe in éag, athraíonn fochonraitheoirí, athraíonn ceanglais. Mar sin, is cuid den bhainistíocht riosca iad seiceálacha athfhillteacha.

Faoi alt 33 BSIG, ní mór d'eintitis lena mbaineann clárú leis an BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise) tráth nach déanaí ná trí mhí tar éis dóibh cáiliú mar eintiteas den chéad uair. De réir an BSI, tá an spriocdháta seo caite d'eintitis a bhí faoi réir an Achta cheana nuair a tháinig sé i bhfeidhm; ní mór dóibh clárú gan mhoill.

Ní mór don bhainistíocht na bearta bainistithe riosca a chur chun feidhme agus maoirseacht a dhéanamh ar a gcur chun feidhme (alt 38(1) BSIG) agus páirt a ghlacadh in oiliúint go rialta (alt 38(3) BSIG).

Faoi alt 65 BSIG, is féidir fíneálacha suas le €10 milliún a ghearradh ar eintitis bhunriachtanacha agus suas le €7 milliún ar eintitis thábhachtacha as sáruithe ar alt 30. I gcás láimhdeachais bhliantúil dhomhanda níos mó ná €500 milliún, is í an uasteorainn ná 2% nó 1.4% den láimhdeachas sin, faoi seach.

Ní léiríonn Vendo4u na ceanglais mar cheistiúchán ar leith do gach custaiméir ach mar chatalóg chomhroinnte: taifeadann soláthraithe a gcuid faisnéise ar shlándáil faisnéise, ar chosaint sonraí agus ar leanúnachas gnó uair amháin agus tacaíonn siad léi le doiciméid atá ceangailte le gach critéar. Scagann ceannaitheoirí de réir a n-íoscheanglas, cuireann siad soláthraithe i gcomparáid agus easpórtálann siad an phróifíl lena n-áirítear an fhianaise dá ndoiciméadú féin.

Fanann an dualgas measúnaithe ar an eintiteas. Soláthraíonn Vendo4u bonn aonfhoirmeach inrianaithe dó.