Transpozicije NIS2: gdje hrvatski zakon odstupa od direktive
Vaše klijente ne obvezuje direktiva, nego nacionalni zakon. A hrvatski zakon odstupa od direktive više nego što riječ "usklađivanje" sugerira.
Ovu jezičnu verziju još nije pregledao izvorni govornik
Nalazi dolaze iz službenih glasila, a citati i upućivanja na članke navedeni su doslovno. Sam hrvatski tekst još čeka lekturu izvornog govornika. Ako uočite jezičnu ili činjeničnu pogrešku, javite nam na [email protected] — ispravit ćemo je.
Zadnjih nekoliko tjedana čitao sam transpozicije u službenim glasilima, a ne njihove sažetke. Počinjem od Hrvatske, jer je ona pretvorila preporuku u tvrdi rok.
Obavještavanje primatelja usluga
Članak 23. direktive kaže da bi subjekti trebali obavijestiti primatelje svojih usluga "prema potrebi", i ne postavlja nikakav rok. Hrvatska daje 72 sata, s obveznim sadržajem (čl. 85). Tri akta obavješćivanja iz direktive postala su pet, a konačno izvješće teče od početne obavijesti, a ne od trenutka kada je incident zatvoren (čl. 65).
Izobrazba
Članak 20. st. 2. direktive govori o članovima upravljačkog tijela. Hrvatska ide dalje: direktor se mora izobrazbom koristiti i omogućiti je zaposlenicima (čl. 29 st. 3), a osobni doseg proširen je na svakoga tko ima nadzorne, zastupničke ili odlučivačke ovlasti nad mjerama (st. 4). Nije u tome usamljena. Poljska propisuje godišnju izobrazbu, jednom po kalendarskoj godini, dokumentiranu, i primjenjuje je na one kojima su obveze povjerene (art. 8e). Francuska obuhvaća upravljačko tijelo i "osobe izložene rizicima" (art. 14, 1°). Tri od tri zemlje. Ako plan izobrazbe staje na upravi, gotovo sigurno je preuzak.
Poljska je izmislila obvezu koje u direktivi uopće nema
Članci 67b–67c uvode režim dobavljača visokog rizika: ministarska odluka objavljena u Monitoru Polskom odmah je izvršna i protiv nje nema zahtjeva za ponovno razmatranje. Nakon nje obuhvaćeni proizvodi ne smiju se uvoditi, za povlačenje već postojećih ima sedam godina, a javni naručitelji ih ne smiju kupovati. Nigdje u NIS2 ne postoji sedmogodišnji rok vezan uz imenovanog dobavljača.
Odstupanje čije ignoriranje stoji novca
Kod lanca opskrbe Italija i Portugal traže da se dokumentira čemu dobavljač zapravo ima pristup: "valutato e documentato" za pristup podacima i intelektualnom vlasništvu, ponderirano kritičnošću (Misure ACN GV.SC-07.R1), te "a exposição da sua informação" kao element kategorizacije (QNRCS GR.CA-7). Poljska i Njemačka ne traže ništa slično, a Njemačka uopće nije transponirala čl. 21. st. 3. Alat koji to polje nameće svugdje griješi jednako kao onaj koji ga ne nudi nigdje.
Zašto to nije sitnica za dobavljača alata
Platforma građena na direktivi prikazuje tri roka obavješćivanja, jer ih direktiva ima tri. Hrvatskom subjektu tako kaže da kasni onda kada ne kasni — i prešuti dva akta koja mu zakon nalaže. Mi prikazujemo svih pet, a konačno izvješće računamo od početne obavijesti, kako traži čl. 65. To nije bilo tako od početka: prikazivali smo tri, i ispravili nakon čitanja Uredbe.
Koji vas nacionalni zakon obvezuje?
Besplatna procjena imenuje zakon koji vas veže, tijelo kojem prijavljujete i rokove koje vaša država doista postavlja. Za Hrvatsku prikazujemo svih pet akata obavješćivanja, a konačno izvješće računamo od početne obavijesti. Bez kartice.