NIS2 र साइबर सुरक्षा ऐन: यसले तपाईंलाई के चाहिन्छ?

NIS2 निर्देशिका, साइबर सुरक्षा ऐनको डच कार्यान्वयन (साइबरबेभिलिगिङस्वेट, Cbw), १५ अगस्ट २०२६ देखि लागू भएको छ। यसले पहिलेको नेटवर्क र सूचना प्रणाली सुरक्षा ऐन (Wet beveiliging network-en informaties systemmen, Wbni) and applies to organisations designated as essential or important entities across eighteen sectors, including energy, drinking water, digital infrastructure, healthcare, transport, public administration, manufacturing, waste and postal services. It reaches more than 8,000 organisations in the Netherlands.

तीन दायित्वहरूले यसलाई परिभाषित गर्छन्। पहिलो हेरचाहको कर्तव्य हो ( zorgplicht ): दायरा भित्रको संस्थाले आफ्नो नेटवर्क र सूचना प्रणालीमा जोखिम व्यवस्थापन गर्न र घटनाहरूको परिणाम सीमित गर्न उपयुक्त र समानुपातिक प्राविधिक, परिचालन र संगठनात्मक उपायहरू अपनाउनु पर्छ। दोस्रो भनेको रिपोर्ट गर्नु ( meldplicht ): एक महत्त्वपूर्ण घटनालाई वैधानिक अवधि भित्र सक्षम कम्प्युटर सुरक्षा घटना प्रतिक्रिया टोली र क्षेत्र पर्यवेक्षकलाई सूचित गर्नुपर्छ, चौबीस घण्टा भित्र प्रारम्भिक चेतावनी, बहात्तर घण्टा भित्र पूर्ण सूचना र एक महिना भित्र अन्तिम रिपोर्टबाट सुरु हुन्छ। तेस्रो राष्ट्रिय साइबर सुरक्षा केन्द्र (NCSC) मा दर्ता ( registratieplicht ) हो।

NIS2 लाई पहिलेको साइबर सुरक्षा नियमनबाट अलग गर्ने कुरा भनेको जिम्मेवारी कहाँ छ भन्ने हो। व्यवस्थापन निकायहरूले जोखिम व्यवस्थापन उपायहरूलाई अनुमोदन गर्नुपर्छ र तिनीहरूको कार्यान्वयनको निरीक्षण गर्नुपर्छ, तिनीहरूलाई असफलताको लागि जवाफदेही बनाउन सकिन्छ, र तिनीहरूले प्रशिक्षण पालना गर्न आवश्यक छ। हेरचाहको कर्तव्य आपूर्ति श्रृंखलामा पनि विस्तार हुन्छ, जसको अर्थ यो आपूर्तिकर्ता र सेवा प्रदायकहरूसँगको सम्झौता मार्फत प्रभावकारी हुनुपर्छ।

के NIS2 तपाईंको संस्थामा लागू हुन्छ?

यदि तपाईंको संस्थाले अठार सूचीबद्ध क्षेत्रहरू मध्ये एकमा सञ्चालन गर्छ र आकार थ्रेसहोल्ड पूरा गर्छ भने NIS2 लागू हुन्छ, वा यदि यो आकारको पर्वाह नगरी कभर गरिएको श्रेणीमा पर्दछ भने। साइबर सुरक्षा ऐन १५ अगस्ट २०२६ देखि लागू भएको छ, र कुनै सामान्य संक्रमण अवधि छैन: दायित्वहरू अब लागू हुन्छन्।

The Netherlands implemented the directive later than the European deadline. Many older articles still refer to “a 2025 deadline”. That date is no longer relevant. What matters is that the Dutch rules are in force and that supervisors can enforce them.

कुन क्षेत्र र संस्थाहरू दायरामा छन्?

ऐनले दुई अनुसूचीमा सूचीबद्ध अठार क्षेत्रहरूलाई समेट्छ। पहिलो अनुसूचीमा ऊर्जा, यातायात, बैंकिङ, वित्तीय बजार पूर्वाधार, स्वास्थ्य सेवा, पिउने पानी, फोहोर पानी, डिजिटल पूर्वाधार, सार्वजनिक प्रशासन र अन्तरिक्ष जस्ता उच्च महत्वपूर्ण क्षेत्रहरू समावेश छन्। दोस्रो अनुसूचीमा हुलाक र कुरियर सेवाहरू, फोहोर व्यवस्थापन, रसायन, खाद्य, उत्पादन, डिजिटल प्रदायक र अनुसन्धान जस्ता अन्य महत्वपूर्ण क्षेत्रहरू समावेश छन्।

यी क्षेत्रहरू भित्र, आकारले तपाईं कभर हुनुहुन्छ कि हुनुहुन्न भनेर निर्धारण गर्छ। NCSC का अनुसार, यदि तपाईंको संस्थाले यी मध्ये कम्तिमा एउटा मापदण्ड पूरा गर्छ भने त्यो दायरा भित्र पर्छ:

• कर्मचारी: यसले ५० वा सोभन्दा बढी मानिसहरूलाई रोजगार दिन्छ (पूर्ण-समय समकक्षमा)
• कारोबार र ब्यालेन्स पाना: यसले ५० भन्दा कम मानिसहरूलाई रोजगारी दिन्छ, तर यसको वार्षिक कारोबार र यसको ब्यालेन्स-सिट दुवै €१० मिलियन भन्दा बढी छ।
• समूह: साझेदार र लिङ्क गरिएका उद्यमहरू यी तथ्याङ्कहरूमा गणना हुन्छन्, त्यसैले ठूलो समूहको सानो सहायक कम्पनीलाई अझै पनि समेट्न सकिन्छ।

केही संस्थाहरू तिनीहरूको आकार जस्तोसुकै भए पनि समेटिएका छन्। यसमा DNS सेवा प्रदायकहरू, सार्वजनिक इलेक्ट्रोनिक सञ्चार नेटवर्क वा सेवाहरूको प्रदायकहरू, ट्रस्ट सेवा प्रदायकहरू, शीर्ष-स्तरीय डोमेन नाम रजिस्ट्रीहरू र सरकारी संस्थाहरू समावेश छन्।

दायरा भित्र, कानूनले आवश्यक र महत्त्वपूर्ण संस्थाहरू बीच भिन्नता छुट्याउँछ। नियमको रूपमा, उच्च-महत्वपूर्ण क्षेत्रहरूमा ठूला संस्थाहरू आवश्यक संस्थाहरू हुन्; अरूहरू महत्त्वपूर्ण संस्थाहरू हुन्। पर्यवेक्षण र अधिकतम जरिवानाको लागि भिन्नता महत्त्वपूर्ण छ। डिजिटल पूर्वाधारको लागि डच प्राधिकरण (RDI) ले तपाईंलाई आफ्नो स्थिति स्थापित गर्न मद्दत गर्न regelhulpenvoorbedrijven.nl मा आत्म-मूल्याङ्कन उपकरण (NIS2-Zelfevaluatie) प्रदान गर्दछ। यदि परिणाम अस्पष्ट छ, उदाहरणका लागि समूह संरचना वा मिश्रित गतिविधिहरूको कारणले गर्दा, यसको मूल्याङ्कन गराउनुहोस् र तर्क रेकर्ड गर्नुहोस्।

हेरचाहको कर्तव्य के चाहिन्छ?

हेरचाहको कर्तव्यको लागि तपाईंको नेटवर्क र सूचना प्रणालीमा हुने जोखिमहरू व्यवस्थापन गर्न उपयुक्त र समानुपातिक उपायहरू आवश्यक पर्दछ। "समानुपातिक" भनेको उपायहरू तपाईंको आकार, जोखिममा तपाईंको जोखिम र समाज र अर्थतन्त्रमा घटनाको सम्भावित प्रभावसँग मेल खानुपर्छ।

निर्देशिकाले NIS2 निर्देशिकाको धारा २१(२) मा न्यूनतम आधाररेखा सेट गर्दछ। छोटकरीमा, तपाईंको उपायहरूले निम्न कुराहरू समेट्नु पर्छ:

• जोखिम विश्लेषण: जोखिम विश्लेषण र तपाईंको सूचना प्रणालीको सुरक्षा सम्बन्धी नीतिहरू
• घटना व्यवस्थापन: घटनाहरू पत्ता लगाउने, ह्यान्डल गर्ने र पुन: प्राप्ति गर्ने प्रक्रियाहरू
• निरन्तरता: व्यवसाय निरन्तरता, ब्याकअप, पुन:प्राप्ति र संकट व्यवस्थापन
• आपूर्ति श्रृंखला: आपूर्तिकर्ता र सेवा प्रदायकहरूसँगको तपाईंको सम्बन्धमा सुरक्षा
• विकास र मर्मतसम्भार: प्रणालीहरू प्राप्त गर्दा, विकास गर्दा र मर्मत गर्दा सुरक्षा, कमजोरीहरू ह्यान्डल गर्ने सहित
• परीक्षण: तपाईंका उपायहरू प्रभावकारी छन् कि छैनन् भनी मूल्याङ्कन गर्ने प्रक्रियाहरू
• स्वच्छता र प्रशिक्षण: कर्मचारीहरूको लागि आधारभूत साइबर स्वच्छता र साइबर सुरक्षा तालिम
• क्रिप्टोग्राफी र पहुँच: सुरक्षित प्रमाणीकरण सहित इन्क्रिप्शनको प्रयोग, मानव संसाधन सुरक्षा, पहुँच नियन्त्रण र सम्पत्ति व्यवस्थापन

कानूनले एउटा विशेष मापदण्ड तोकेको छैन। धेरै संस्थाहरूले आफ्नो उपायहरू संरचना गर्न अवस्थित सूचना सुरक्षा ढाँचा प्रयोग गर्छन्। एक पर्यवेक्षकको लागि महत्त्वपूर्ण कुरा यो हो कि तपाईंले आफ्नो उपायहरू जोखिम मूल्याङ्कनमा आधारित छन् र वास्तवमा काम गर्छन् भनेर देखाउन सक्नुहुन्छ कि सक्नुहुन्न।

रिपोर्टिङ कर्तव्य र कार्यान्वयनले कसरी काम गर्छ?

एउटा महत्त्वपूर्ण घटनाको रिपोर्ट तीन चरणमा गरिनुपर्छ: २४ घण्टा भित्र प्रारम्भिक चेतावनी, ७२ घण्टा भित्र घटनाको सूचना र एक महिना भित्र अन्तिम रिपोर्ट। तपाईंले सक्षम कम्प्युटर सुरक्षा घटना प्रतिक्रिया टोली (CSIRT) र आफ्नो क्षेत्र पर्यवेक्षकलाई रिपोर्ट गर्नुहुन्छ।

२४-घण्टाको चेतावनी छोटो छ र यसलाई पूर्ण हुनु आवश्यक छैन। यसले मुख्यतया केहि भइरहेको छ र त्यहाँ दुर्भावनापूर्ण मनसाय वा सीमापार प्रभाव हुन सक्छ कि भनेर संकेत गर्दछ। ७२-घण्टाको सूचनाले गम्भीरता र प्रभावको पहिलो मूल्याङ्कन दिन्छ। अन्तिम प्रतिवेदनले कारण, लिइएका उपायहरू र कुनै पनि सीमापार परिणामहरू वर्णन गर्दछ।

पर्यवेक्षण क्षेत्र अनुसार विभाजित छ। तपाईंको गतिविधिहरूमा निर्भर गर्दै, तपाईंको पर्यवेक्षक, उदाहरणका लागि, मानव वातावरण र यातायात निरीक्षणालय (ILT), De Nederlandsche Bank (DNB), वित्तीय बजारहरूको लागि डच प्राधिकरण (AFM), स्वास्थ्य र युवा हेरचाह निरीक्षणालय (IGJ), नेदरल्याण्ड्स खाद्य र उपभोक्ता उत्पादन सुरक्षा प्राधिकरण (NVWA) वा RDI हुन सक्छन्। पर्यवेक्षकहरूसँग कार्यान्वयन शक्तिहरू हुन्छन्, जसमा प्रशासनिक जरिवाना लगाउने समावेश छ।

NIS2 ले सामान्य डेटा सुरक्षा नियमन (GDPR) सँग पनि ओभरल्याप गर्छ। यदि कुनै घटनामा व्यक्तिगत डेटा समावेश छ भने, डच डेटा सुरक्षा प्राधिकरण ( Autoriteit Persoonsgegevens ) लाई छुट्टै सूचना आवश्यक पर्न सक्छ। आफ्नो NIS2 प्रक्रियालाई आफ्नो डेटा उल्लंघन प्रक्रियासँग मिलाउनुहोस्, ताकि एउटा घटनाले दुई अलग, असंगत प्रक्रियाहरू निम्त्याउन नपरोस्।

व्यवस्थापन, कर्मचारी र कम्पनीमा के परिवर्तन आउँछ?

सबैभन्दा महत्त्वपूर्ण परिवर्तन भनेको साइबर सुरक्षा अब आईटी विभागको मात्र विषय रहेन। NIS2 ले व्यवस्थापन निकायलाई जिम्मेवारी दिन्छ, र कर्मचारी र आपूर्तिकर्ताहरू सहित सम्पूर्ण संस्थाले योगदान गर्ने अपेक्षा गर्दछ।

कर्मचारीहरूको लागि NIS2 को अर्थ के हो?

NIS2 ले कर्मचारीहरूको लागि प्रत्यक्ष रूपमा नयाँ व्यक्तिगत अधिकार वा दायित्वहरू सिर्जना गर्दैन; दायित्वहरू संस्थामा निर्भर हुन्छन्। यद्यपि, व्यवहारमा, रोजगारदाताले हेरचाहको कर्तव्यलाई कर्मचारीहरूको लागि नियम र प्रशिक्षणमा अनुवाद गर्नुपर्छ।

आधारभूत साइबर स्वच्छता र साइबर सुरक्षा तालिम न्यूनतम उपायहरूको अंश हुन्। यसको मतलब तपाईंका कर्मचारीहरूले, उदाहरणका लागि:

• जागरूकता: फिसिङ, पासवर्ड र सुरक्षित काम गर्ने बारे तालिममा भाग लिनुहोस्
• आन्तरिक रिपोर्टिङ: शंकास्पद घटना वा जोखिमको बारेमा कसरी र कसलाई रिपोर्ट गर्ने भनेर जान्नुहोस्, ताकि तपाईंले २४ घण्टाको समयसीमा पूरा गर्न सक्नुहुनेछ।
• पहुँच: सुरक्षित प्रमाणीकरण प्रयोग गर्नुहोस् र उनीहरूको कामको लागि आवश्यक पर्ने प्रणालीहरूमा मात्र पहुँच राख्नुहोस्

यी नियमहरूलाई नीति वा कर्मचारी पुस्तिकामा रेकर्ड गर्नुहोस्। यदि तपाईंले कर्मचारीहरूको प्रणाली वा व्यवहारको नयाँ अनुगमन सुरु गर्नुभयो भने, गोपनीयता सम्बन्धी नियमहरू र, जहाँ सान्दर्भिक छ, कार्य परिषद्को भूमिका ( ondernemingsraad ) जाँच गर्नुहोस्।

व्यवस्थापन निकायले के गर्नुपर्छ?

व्यवस्थापन निकायले साइबर सुरक्षा जोखिम व्यवस्थापन उपायहरूलाई अनुमोदन गर्नुपर्छ र तिनीहरूको कार्यान्वयनको सुपरिवेक्षण गर्नुपर्छ। यसका सदस्यहरूले प्रशिक्षण पालना गर्नुपर्छ, ताकि उनीहरूसँग जोखिम र उपायहरूको मूल्याङ्कन गर्न पर्याप्त ज्ञान होस्। यदि संस्थाले पालना गर्न असफल भयो भने, व्यवस्थापन निकायलाई जवाफदेही बनाउन सकिन्छ।

व्यवहारमा, यसको अर्थ बोर्डले अब केवल साइबर सुरक्षा प्रत्यायोजन गर्न सक्दैन। निर्देशकहरूले:

• निर्णय: जोखिम मूल्याङ्कन र उपायहरूलाई औपचारिक रूपमा अनुमोदन गर्नुहोस्, र त्यो निर्णय रेकर्ड गर्नुहोस्
• पर्यवेक्षण गर्नुहोस्: उपायहरूको स्थिति र घटनाहरूको बारेमा नियमित रिपोर्टहरू प्राप्त गर्नुहोस्
• सिक्न: तालिम पालना गर्नुहोस् र त्यो ज्ञानलाई अद्यावधिक राख्नुहोस्
• छुट्याउनुहोस्: पर्याप्त बजेट, मान्छे र स्पष्ट भूमिकाहरू सुनिश्चित गर्नुहोस्

कुनै निर्देशकलाई क्षतिको लागि व्यक्तिगत रूपमा उत्तरदायी ठहराउन सकिन्छ कि सकिँदैन भन्ने कुरा डच कम्पनी कानूनको सामान्य नियम र मुद्दाको तथ्यमा निर्भर गर्दछ। स्पष्ट निर्णय लिने र कागजातहरूले बोर्डले आफ्नो भूमिकालाई गम्भीरतापूर्वक लिएको देखाउन मद्दत गर्दछ।

जरिवाना र अन्य परिणामहरू के के हुन्?

सुपरिवेक्षकहरूले आवश्यक संस्थाहरूलाई €१० मिलियन वा विश्वव्यापी वार्षिक कारोबारको २% सम्म जरिवाना लगाउन सक्छन्, र महत्त्वपूर्ण संस्थाहरूलाई €७ मिलियन वा १.४% सम्म, जुन बढी हुन्छ, जरिवाना लगाउन सक्छन्। यी अधिकतम रकम हुन्; वास्तविक जरिवाना उल्लंघनको गम्भीरता र परिस्थितिमा निर्भर गर्दछ।

जरिवाना मात्र जोखिम होइन। एक पर्यवेक्षकले तपाईंलाई पालना गराउन अन्य कार्यान्वयन उपायहरू पनि प्रयोग गर्न सक्छन्। गम्भीर घटनाले ग्राहकहरू वा व्यावसायिक साझेदारहरूबाट दावीहरू, आपूर्तिकर्ताहरूसँगको सम्झौता परिणामहरू र प्रतिष्ठामा क्षति पुर्‍याउन सक्छ। त्यसैले राम्रो तयारीले तपाईंलाई धेरै तरिकाले सुरक्षित गर्छ।

तपाईं आपूर्तिकर्ता र सम्झौताहरूसँग कसरी व्यवहार गर्नुहुन्छ?

हेरचाहको कर्तव्य तपाईंको आपूर्ति श्रृंखलामा फैलिएको छ, त्यसैले तपाईंले आफ्ना आपूर्तिकर्ता र सेवा प्रदायकहरूको साइबर सुरक्षा जोखिमहरू पनि व्यवस्थापन गर्नुपर्छ। व्यवहारमा, यो धेरै हदसम्म सम्झौताहरू मार्फत गरिन्छ।

आपूर्तिकर्ता सम्झौताहरूमा सम्बोधन गर्नुपर्ने बुँदाहरू समावेश छन्:

• सुरक्षा आवश्यकताहरू: तपाईंको आफ्नै जोखिम मूल्याङ्कन अनुरूप आपूर्तिकर्ताले लिनुपर्ने उपायहरू
• घटनाको सूचना: आपूर्तिकर्तालाई घटनाहरूको बारेमा जानकारी गराउनको लागि छोटो समयसीमा, ताकि तपाईं आफ्नै रिपोर्टिङ समयसीमा पूरा गर्न सक्नुहुनेछ।
• लेखापरीक्षण र जानकारी: जानकारी अनुरोध गर्ने र अनुपालन जाँच गर्ने तपाईंको अधिकार
• सबकन्ट्रक्टि।: उप-ठेकेदारहरूको प्रयोग र दायित्वहरूको हस्तान्तरण सम्बन्धी नियमहरू
• दायित्व र समाप्ति: यदि आपूर्तिकर्ताले पालना गर्न असफल भएमा के हुन्छ, र तपाईं कसरी सम्बन्ध अन्त्य गर्न सक्नुहुन्छ

पहिले तपाईंको सबैभन्दा महत्त्वपूर्ण IT र सेवा प्रदायकहरूसँगको अवस्थित सम्झौताहरूको समीक्षा गर्नुहोस्। नयाँ सम्झौताहरूमा सुरुदेखि नै मानक NIS2 खण्डहरू समावेश हुन सक्छन्।

कार्यक्षेत्रमा रहेको संस्थाको रूपमा तपाईंले के जाँच गर्नुपर्छ?

The Act has applied since 15 August 2026 without a general transition period. These checks cover the obligations a supervisor will look at first.

• Establish with the RDI self-assessment whether you are an essential or important entity, include group companies, and record the reasoning.
• Register with the NCSC and keep the registration up to date.
• Have the management body formally approve the risk assessment and the measures, and record that decision.
• Plan training for the management body and basic cyber hygiene training for staff.
• Name the person who decides whether an incident is significant and who reports within 24 hours, 72 hours and one month.
• Align the NIS2 procedure with the 72-hour data breach notification to the Dutch Data Protection Authority under the GDPR.

आपूर्तिकर्ताको रूपमा तपाईंले के जाँच गर्नुपर्छ?

Customers in scope pass their duty of care on to you through contracts. Check what you are asked to sign before you agree.

• Check whether your own organisation is covered by the Act, for example as a digital or IT service provider.
• Check that the incident notification deadline you are asked to accept is achievable, given your customer’s own 24-hour deadline.
• Agree on the scope and cost of the customer’s audit and information rights.
• Check the liability and termination clauses attached to the security requirements.
• Check which obligations you must pass on to your own subcontractors.

NIS2 र साइबर सुरक्षा ऐनको साथ हामी तपाईंको लागि के गर्न सक्छौं?

हाम्रो आईटी वकिल team assists organisations in scope and their suppliers, from the scope assessment to supervision.

• We establish whether your organisation is an essential or important entity, including in group structures.
• We draft the board resolution, the security policies and the incident and reporting procedure.
• We draft and review NIS2 clauses in supplier and customer contracts.
• We advise directors on their responsibilities and on their liability under Dutch company law.
• We assist during an investigation by the RDI or your sector supervisor and draft the objection (bezwaar) against a fine decision.

सारांश

• The Cybersecurity Act, the Dutch implementation of NIS2, has applied since 15 August 2026 to more than 8,000 organisations in eighteen sectors.
• तपाईंको संस्थामा सामान्यतया कम्तिमा ५० कर्मचारीहरू छन् वा कारोबार र ब्यालेन्स-शीट कुल €१० मिलियन भन्दा माथि छ भने यो कभर हुन्छ; केही प्रदायकहरू आकारको पर्वाह नगरी कभर हुन्छन्।
• मुख्य दायित्वहरू हेरचाहको कर्तव्य, महत्त्वपूर्ण घटनाहरूको रिपोर्टिङ (२४ घण्टा, ७२ घण्टा, एक महिना) र NCSC मा दर्ता हुन्।
• व्यवस्थापन निकायले उपायहरूलाई अनुमोदन र सुपरिवेक्षण गर्छ, तालिम पछ्याउँछ र जवाफदेही बनाउन सकिन्छ; आपूर्ति श्रृंखला सुरक्षा धेरै हदसम्म सम्झौताहरू मार्फत सञ्चालित हुन्छ।
• जरिवाना आवश्यक संस्थाहरूको लागि €१० मिलियन वा विश्वव्यापी कारोबारको २% सम्म पुग्न सक्छ, र महत्त्वपूर्ण संस्थाहरूको लागि €७ मिलियन वा १.४% सम्म पुग्न सक्छ।

बारम्बार सोधिने प्रश्नहरू