NIS2: अब आपके साइबर सप्लायर कॉन्ट्रैक्ट्स पर पड़ेगा कानूनी दबाव

क्या आपको लगता है कि साइबर सिक्योरिटी सर्विस प्रोवाइडर के साथ हाथ मिलाना ही काफी है? NIS2 डायरेक्टिव का Article 17 अब उस भरोसे को कागज़ पर उतारने की मांग करता है। ACN (Agenzia per la Cybersicurezza Nazionale) की नई FAQ ने साफ कर दिया है कि SOC, MDR, पेनिट्रेशन टेस्ट और थ्रेट इंटेलिजेंस जैसी सेवाओं के लिए अब फॉर्मल एग्रीमेंट अनिवार्य हैं। और हाँ, इन्हें अथॉरिटी को भी बताना होगा।

Article 17: क्या है ये नया नियम?

Featured Snippet Bait: NIS2 का Article 17 कहता है कि अगर आप किसी साइबर सिक्योरिटी सर्विस प्रोवाइडर (जैसे SOC, MDR) से संवेदनशील जानकारी शेयर करते हैं, तो उसके लिए एक फॉर्मल एग्रीमेंट होना चाहिए, जिसमें गोपनीयता, दायित्व और डेटा हैंडलिंग की शर्तें स्पष्ट हों।

यह नियम उन सभी कंपनियों पर लागू होता है जो NIS2 के दायरे में आती हैं। अब सिर्फ ईमेल या मौखिक बातचीत से काम नहीं चलेगा। आपको हर सर्विस के लिए एक डिटेल्ड कॉन्ट्रैक्ट चाहिए, जो यह तय करे कि डेटा कैसे शेयर होगा, कौन जिम्मेदार होगा, और क्या होगा अगर कुछ गलत हो जाए।

किन सेवाओं पर पड़ेगा असर?

FAQ में साफ किया गया है कि यह नियम सिर्फ 'मैनेज्ड सिक्योरिटी सर्विसेज' तक सीमित नहीं है। इसमें शामिल हैं:

• SOC (Security Operations Center) – जो आपके नेटवर्क की निगरानी करता है
• MDR (Managed Detection and Response) – जो खतरों का पता लगाकर जवाब देता है
• पेनिट्रेशन टेस्टिंग – जो आपके सिस्टम की कमजोरियां ढूंढता है
• थ्रेट इंटेलिजेंस – जो आपको साइबर खतरों की जानकारी देता है

अगर आप इनमें से किसी भी सेवा का उपयोग करते हैं, तो आपको अपने मौजूदा कॉन्ट्रैक्ट्स की समीक्षा करनी होगी।

क्या बदलेगा आपके कॉन्ट्रैक्ट मैनेजमेंट में?

पहले, कई कंपनियां साइबर सर्विस प्रोवाइडर के साथ अनौपचारिक समझौतों पर चलती थीं। अब Article 17 उन्हें फॉर्मल बनाने पर मजबूर करता है। इसका मतलब है कि आपको हर सेवा के लिए एक अलग एग्रीमेंट की ज़रूरत होगी, जिसमें यह स्पष्ट हो:

• कौन सी जानकारी शेयर की जाएगी
• डेटा कैसे स्टोर और प्रोसेस होगा
• गोपनीयता और गैर-प्रकटीकरण की शर्तें
• दायित्व और क्षतिपूर्ति की सीमाएं
• घटना की स्थिति में रिपोर्टिंग प्रक्रिया

यह सुनने में थोड़ा बोझिल लग सकता है, लेकिन इसे ऐसे समझें: जैसे आप अपने घर की चाबी किसी को देते हैं, तो आप यह तय करना चाहेंगे कि वह कब आ सकता है और क्या कर सकता है। यहाँ भी वही बात है – आप अपने साइबर सिक्योरिटी के दरवाज़े की चाबी किसी को दे रहे हैं, तो उसके लिए नियम तो बनाने ही पड़ेंगे।

अथॉरिटी को सूचित करना: एक नई जिम्मेदारी

FAQ में यह भी स्पष्ट किया गया है कि इन एग्रीमेंट्स को संबंधित अथॉरिटी (जैसे ACN) को सूचित करना होगा। इसका मतलब है कि आपको अपने कॉन्ट्रैक्ट्स का एक रजिस्टर रखना होगा और समय-समय पर अपडेट करना होगा। यह एक अतिरिक्त प्रशासनिक बोझ है, लेकिन यह पारदर्शिता बढ़ाता है और यह सुनिश्चित करता है कि सभी पक्ष अपनी जिम्मेदारियों से अवगत हैं।

अब क्या करें?

अगर आप NIS2 के दायरे में आते हैं, तो तुरंत अपने साइबर सर्विस प्रोवाइडर के साथ मौजूदा समझौतों की समीक्षा करें। अगर कोई फॉर्मल एग्रीमेंट नहीं है, तो उसे बनाने की प्रक्रिया शुरू करें। यह एक मौका है अपने साइबर सिक्योरिटी इकोसिस्टम को मजबूत करने का – क्योंकि एक अच्छा कॉन्ट्रैक्ट न सिर्फ कानूनी जोखिम कम करता है, बल्कि सेवा की गुणवत्ता भी सुनिश्चित करता है।

याद रखें, NIS2 सिर्फ एक कानूनी बाध्यता नहीं है; यह आपकी साइबर सुरक्षा को बेहतर बनाने का एक टूल है। तो इसे एक अवसर के रूप में लें, न कि एक बोझ के रूप में।

FAQ

NIS2 के Article 17 के तहत किन सेवाओं के लिए फॉर्मल एग्रीमेंट ज़रूरी है?

Article 17 उन सभी साइबर सिक्योरिटी सर्विसेज पर लागू होता है जिनमें संवेदनशील जानकारी का आदान-प्रदान होता है, जैसे SOC, MDR, पेनिट्रेशन टेस्टिंग और थ्रेट इंटेलिजेंस। ACN की FAQ ने इसे स्पष्ट किया है।

क्या मुझे अपने मौजूदा कॉन्ट्रैक्ट्स को बदलना होगा?

हाँ, अगर आपके मौजूदा कॉन्ट्रैक्ट्स में Article 17 की आवश्यकताएं पूरी नहीं होती हैं, तो आपको उन्हें अपडेट करना होगा। इसमें गोपनीयता, दायित्व और डेटा हैंडलिंग की शर्तों को स्पष्ट रूप से शामिल करना शामिल है।

क्या मुझे इन एग्रीमेंट्स को अथॉरिटी को सूचित करना होगा?

हाँ, FAQ के अनुसार, आपको इन एग्रीमेंट्स को संबंधित राष्ट्रीय अथॉरिटी (जैसे इटली में ACN) को सूचित करना होगा। यह सुनिश्चित करने के लिए है कि अथॉरिटी को आपके साइबर सिक्योरिटी इकोसिस्टम की जानकारी हो।