NIS2, GDPR, ISO 27001: điều quan trọng là ai áp đặt lên bạn và cái giá bạn phải trả.

Bản đồ nghĩa vụ

1. NIS2Nghĩa vụ pháp lý

   Chỉ thị (EU) 2022/2555

   Ai chịu tác động

   Thực thể thiết yếu

   Một lĩnh vực có mức độ quan trọng cao thuộc Phụ lục I (năng lượng, giao thông, ngân hàng, hạ tầng thị trường tài chính, y tế, nước sạch, nước thải, hạ tầng số, dịch vụ ICT giữa doanh nghiệp, hành chính công, vũ trụ) và là doanh nghiệp lớn: từ 250 nhân viên trở lên, hoặc doanh thu trên 50 triệu EUR và tổng tài sản trên 43 triệu EUR.

   Điều 3 khoản 1 · Phụ lục I

   Thực thể quan trọng

   Các thực thể khác thuộc Phụ lục I và II, từ quy mô doanh nghiệp vừa: từ 50 nhân viên trở lên, hoặc doanh thu và tổng tài sản trên 10 triệu EUR. Phụ lục II bổ sung bảy lĩnh vực: bưu chính, rác thải, hóa chất, thực phẩm, sản xuất chế tạo, nhà cung cấp dịch vụ số, nghiên cứu.

   Điều 2 khoản 1 · Điều 3 khoản 2 · Phụ lục II

   Bất kể quy mô

   Nhà cung cấp mạng hoặc dịch vụ viễn thông công cộng, nhà cung cấp dịch vụ tin cậy, cơ quan quản lý tên miền cấp cao nhất, nhà cung cấp DNS, hoặc thực thể duy nhất cung cấp một dịch vụ thiết yếu trong nước.

   Điều 2 khoản 2

   Khu vực công

   Các cơ quan hành chính trung ương và, tại Pháp, các chính quyền địa phương: phạm vi chính xác phụ thuộc vào luật chuyển hóa, hiện chưa được ban hành.

   Điều 2 khoản 2 điểm f và khoản 5NIS2 và chính quyền địa phương, chi tiết

   Để kiểm tra trường hợp của bạn: MonEspaceNIS2, công cụ chính thức của ANSSI.

   Văn bản đòi hỏi gì

   • 24giờ

     cảnh báo sớm

   • 72giờ

     thông báo tới cơ quan chức năng

   • 1tháng

     báo cáo cuối cùng

   Một sự cố nghiêm trọng kích hoạt cảnh báo sớm trong vòng 24 giờ, thông báo tới cơ quan chức năng trong vòng 72 giờ, rồi báo cáo cuối cùng trong vòng một tháng.

   Cái giá phải trả

   Chế tài hành chính, và trách nhiệm trực tiếp của người lãnh đạo doanh nghiệp. Chỉ thị quy định mức trần ít nhất 10 triệu EUR hoặc 2% doanh thu toàn cầu với các thực thể thiết yếu, 7 triệu EUR hoặc 1,4% với các thực thể quan trọng, lấy mức cao hơn.

2. GDPRNghĩa vụ pháp lý

   Quy định (EU) 2016/679

   Ai chịu tác động

   Mọi tổ chức

   Doanh nghiệp, hiệp hội, cơ quan hành chính, chính quyền địa phương: ngay khi bạn xử lý dữ liệu cá nhân (khách hàng, nhân viên, người dân), bất kể quy mô.

   Điều 2 khoản 1 · Điều 4

   Có trụ sở trong Liên minh

   Quy định áp dụng cho hoạt động xử lý của bạn, dù dữ liệu được lưu trữ ở Pháp, ở Mỹ hay bất cứ đâu.

   Điều 3 khoản 1

   Có trụ sở ngoài Liên minh

   Ngay khi tổ chức cung cấp hàng hóa hoặc dịch vụ cho những người ở trong Liên minh, hoặc theo dõi hành vi của họ.

   Điều 3 khoản 2

   Cán bộ bảo vệ dữ liệu (DPO)

   Bắt buộc với các cơ quan và tổ chức công, và với các tổ chức có hoạt động cốt lõi là giám sát thường xuyên, có hệ thống trên quy mô lớn, hoặc xử lý dữ liệu nhạy cảm trên quy mô lớn.

   Điều 37 khoản 1

   Ngoại lệ duy nhất: hoạt động thuần túy cá nhân hoặc gia đình (Điều 2 khoản 2 điểm c).

   Văn bản đòi hỏi gì

   • 72giờ

     thông báo tới cơ quan chức năng

   Một vi phạm dữ liệu phải được thông báo tới cơ quan chức năng trong vòng 72 giờ kể từ khi biết được; những người liên quan được thông tin nếu rủi ro ở mức cao.

   Cái giá phải trả

   Phạt hành chính có thể lên tới 20 triệu EUR hoặc 4% tổng doanh thu hằng năm trên toàn cầu, lấy mức cao hơn.

3. ISO 27001Tiêu chuẩn tự nguyện

   ISO/IEC 27001:2022

   Ai chịu tác động

   Mặc định: không ai cả

   Tiêu chuẩn không áp đặt lên tổ chức nào. Bạn chọn nó, triển khai nó, rồi đi chứng nhận, hoặc không.

   Tự nguyện

   Nhà cung cấp chịu áp lực từ khách hàng

   Nhà cung cấp lưu trữ, SaaS, dịch vụ vận hành: khi một hợp đồng hay một hồ sơ mời thầu yêu cầu chứng nhận, nó trở thành điều kiện để tiếp cận thị trường.

   Yêu cầu hợp đồng

   Đơn vị lưu trữ dữ liệu y tế

   Trường hợp duy nhất tại Pháp mà nó trở nên gần như bắt buộc: chứng nhận HDS, do luật yêu cầu, đã tích hợp các yêu cầu của ISO 27001:2022 từ bộ tiêu chí năm 2024.

   Điều L.1111-8 CSP · bộ tiêu chí HDS

   Thực thể thuộc diện NIS2

   Chỉ thị khuyến khích sử dụng các tiêu chuẩn châu Âu và quốc tế. Chứng nhận ISO 27001 giúp chứng minh các biện pháp của Điều 21, nhưng tự nó không đồng nghĩa với tuân thủ.

   Điều 25 NIS2

   Chứng chỉ do một tổ chức được công nhận cấp (tại Pháp do Cofrac công nhận), có hiệu lực 3 năm, với một đợt đánh giá giám sát mỗi năm.

   Văn bản đòi hỏi gì

   • 3năm

     hiệu lực của chứng chỉ

   • 1năm

     giữa hai đợt đánh giá giám sát

   Không phải một thời hạn pháp lý, mà là một chu kỳ đánh giá: một tổ chức chứng nhận được công nhận (tại Pháp là Cofrac công nhận) cấp chứng chỉ có hiệu lực 3 năm, rồi quay lại mỗi năm để đánh giá giám sát.

   Cái giá phải trả

   Không có khoản phạt nào. Cái giá nằm ở thương mại: một gói thầu đòi hỏi chứng nhận, một hợp đồng không được ký, một khách hàng lớn chuyển sang đối thủ đã được chứng nhận.