An Dara Treoir NIS agus do sholáthraithe bogearraí: cad atá le déanamh ag an dá thaobh

01An Dara Treoir NIS i bhfómhar 2026

Foilsíodh an Dara Treoir NIS (osclaítear suíomh seachtrach), Treoir (AE) 2022/2555, san Iris Oifigiúil an 27 Nollaig 2022 agus tháinig sí i bhfeidhm an 16 Eanáir 2023. Bhí ar na Ballstáit a mbearta náisiúnta a ghlacadh agus a fhoilsiú faoin 17 Deireadh Fómhair 2024 agus iad a chur i bhfeidhm ón 18 Deireadh Fómhair 2024, an lá ar aisghaireadh an chéad Treoir NIS.

Toisc gur treoir í NIS2, is é an dlí náisiúnta a thrasuíonn í a cheanglaíonn eagraíocht. Ní mar a chéile a rinneadh an trasuí: chuir roinnt Ballstát a ndlí i bhfeidhm in am, cuid eile in 2025 nó 2026 amháin. In Éirinn, foilsíodh scéim ghinearálta an National Cyber Security Bill i mí Lúnasa 2024, ach níor foilsíodh an bille fós (fómhar 2026), agus fanann I.R. Uimh. 360/2018 (NIS1) i bhfeidhm go dtí go n-achtófar an tAcht nua. I mí Iúil 2026, chuir an Coimisiún Eorpach Éire faoi bhráid Chúirt Bhreithiúnais an Aontais Eorpaigh toisc nár tugadh fógra faoi thrasuí iomlán. Tá an Lárionad Náisiúnta Cibearshlándála (NCSC) beartaithe mar phríomhúdarás inniúil i múnla cónaidhmeach le rialtóirí earnála, agus tá dréacht-treoir foilsithe aige faoi bhearta bainistíochta riosca NIS2. Is cuid den NCSC é CSIRT-IE.

02Eintitis fhíor-riachtanacha agus eintitis thábhachtacha

Tá feidhm ag NIS2 ar eintitis phoiblí agus phríobháideacha sna hearnálacha in Iarscríbhinn I (criticiúlacht ard: fuinneamh, iompar, baincéireacht, bonneagair mhargaidh airgeadais, sláinte, uisce óil, fuíolluisce, bonneagar digiteach, bainistiú seirbhísí TFC, riarachán poiblí agus an spás) agus in Iarscríbhinn II (earnálacha criticiúla eile: seirbhísí poist agus cúiréireachta, bainistiú dramhaíola, ceimiceáin, bia, déantúsaíocht, soláthraithe digiteacha agus taighde). Mar riail, clúdaíonn sí eagraíochtaí meánmhéide agus móra. Tá cuid acu i raon feidhme is cuma a méid, amhail soláthraithe seirbhísí iontaoibhe, soláthraithe seirbhísí DNS agus eintitis den rialtas láir.

Ansin, roinneann Airteagal 3 na heagraíochtaí sin ina dhá chatagóir:

• Eintitis fhíor-riachtanacha: eagraíochtaí móra in earnálacha Iarscríbhinn I den chuid is mó, móide eintitis atá fíor-riachtanach is cuma a méid, amhail soláthraithe cáilithe seirbhísí iontaoibhe, clárlanna fearann barrleibhéil, soláthraithe seirbhísí DNS agus eintitis den rialtas láir. Déantar maoirseacht réamhghníomhach orthu, ar féidir iniúchtaí agus cigireachtaí ar an láthair a bheith i gceist léi.
• Eintitis thábhachtacha: na heagraíochtaí eile atá i raon feidhme Iarscríbhinn I agus II. Is maoirseacht iarghníomhach í: gníomhaíonn an t-údarás nuair a bhíonn comharthaí ann nach bhfuil an t-eintiteas ag comhlíonadh.

Tá na croídhualgais chéanna ar an dá chatagóir: bearta bainistíochta riosca (Airteagal 21), tuairisciú teagmhas (Airteagal 23) agus cuntasacht an lucht bainistíochta (Airteagal 20). Is sa mhaoirseacht agus sna fíneálacha atá an difríocht. I gcás sáruithe ar Airteagal 21 nó 23, ní mór don dlí náisiúnta fíneálacha uasta a cheadú de 10 milliún euro ar a laghad nó 2% den láimhdeachas bliantúil domhanda d’eintitis fhíor-riachtanacha, agus 7 milliún euro ar a laghad nó 1.4% d’eintitis thábhachtacha, cibé acu is airde. Socraíonn na Ballstáit an mbeidh feidhm ag fíneálacha ar eintitis riaracháin phoiblí, agus cé chomh fada.

An bhfuil do sholáthraí bogearraí féin i raon feidhme?

Ní earnáil NIS2 í scríobh bogearraí ann féin. Mar sin féin, is féidir le soláthraí a bheith i raon feidhme go díreach. Clúdaíonn Iarscríbhinn I soláthraithe seirbhísí bainistithe, agus sainmhíníonn NIS2 iad go leathan: eintitis a shuiteálann, a bhainistíonn, a oibríonn nó a chothaíonn táirgí, líonraí, bonneagar nó feidhmchláir TFC do chustaiméirí, ar an láthair nó go cianda. Mar sin, d’fhéadfadh soláthraí meánmhéide nó níos mó a reáchtálann nó a chothaíonn feidhmchláir dá chustaiméirí teacht faoi NIS2 ina cheart féin, mar a d’fhéadfadh soláthraithe seirbhísí néalríomhaireachta agus ionad sonraí. I gcás na soláthraithe sin, leagtar amach na ceanglais theicniúla go mion i Rialachán Cur Chun Feidhme (AE) 2024/2690 (osclaítear suíomh seachtrach).

Is trína gcustaiméirí, áfach, a thagann formhór na soláthraithe bogearraí ar NIS2: déanann na custaiméirí sin clásail chonartha, ceistneoirí agus iniúchtaí dá ndualgas slabhra soláthair féin. Clúdaíonn an Gníomh um Chibear-Athléimneacht (osclaítear suíomh seachtrach), Rialachán (AE) 2024/2847, táirgí bogearraí freisin: tá feidhm ag a oibleagáidí tuairiscithe maidir le leochaileachtaí a shaothraítear go gníomhach agus le teagmhais thromchúiseacha ón 11 Meán Fómhair 2026, agus ag a oibleagáidí eile ón 11 Nollaig 2027.

03Deich mbeart íosta Airteagal 21

Éilíonn Airteagal 21 bearta teicniúla, oibríochtúla agus eagraíochtúla atá iomchuí agus comhréireach, bunaithe ar chur chuige uile-ghuaise. Ní mór dóibh an úrscothacht agus caighdeáin ábhartha Eorpacha agus idirnáisiúnta a chur san áireamh, agus a bheith comhréireach le neamhchosaint an eintitis ar riosca, lena mhéid agus le déine dhóchúil na dteagmhas. Ar a laghad, clúdaíonn siad:

1. 01beartais maidir le hanailís riosca agus slándáil córas faisnéise;
2. 02láimhseáil teagmhas;
3. 03leanúnachas gnó, amhail bainistiú cúltacaí agus athshlánú ó thubaiste, agus bainistiú géarchéime;
4. 04slándáil an tslabhra soláthair, lena n-áirítear gnéithe slándála den chaidreamh le soláthróirí díreacha agus le soláthraithe seirbhíse;
5. 05slándáil i bhfáil, i bhforbairt agus i gcothabháil córas líonra agus faisnéise, lena n-áirítear láimhseáil agus nochtadh leochaileachtaí;
6. 06beartais agus nósanna imeachta chun a mheasúnú an bhfuil na bearta sin éifeachtach;
7. 07cleachtais bhunúsacha chibearshláinteachais agus oiliúint cibearshlándála;
8. 08beartais agus nósanna imeachta maidir le cripteagrafaíocht agus, nuair is iomchuí, criptiú;
9. 09slándáil acmhainní daonna, beartais rialaithe rochtana agus bainistiú sócmhainní;
10. 10fíordheimhniú ilfhachtóireach nó leanúnach, agus cumarsáid shlán ghutha, fhíse agus téacs agus cumarsáid éigeandála, nuair is iomchuí.

Is ag pointí 4 agus 5 a thagann soláthraithe isteach. Iarrann Airteagal 21(3) ar eintitis na leochaileachtaí a bhaineann go sonrach le gach soláthróir díreach a chur san áireamh, cáilíocht fhoriomlán a tháirgí agus a chleachtas cibearshlándála, agus a nósanna imeachta forbartha slán. Táthar ag súil go bhféachfaidh do chustaiméirí ar an gcaoi a dtógann tú bogearraí, ní hamháin ar a seachadann tú.

04Formheasann an lucht bainistíochta, déanann siad maoirseacht agus tugann siad cuntas

Faoi Airteagal 20, ní mór do chomhlachtaí bainistíochta na n-eintiteas fíor-riachtanach agus na n-eintiteas tábhachtach na bearta bainistíochta riosca cibearshlándála a fhormheas, maoirseacht a dhéanamh ar a gcur i bhfeidhm, agus is féidir iad a chur faoi dhliteanas i leith sáruithe. Ní mór dá gcomhaltaí oiliúint a dhéanamh, agus spreagtar eintitis chun oiliúint rialta a chur ar a bhfostaithe freisin. I gcás comhlachtaí poiblí, leanann rialacha náisiúnta maidir le dliteanas institiúidí poiblí agus oifigeach poiblí d’fheidhm a bheith acu.

Athraíonn sé sin an comhrá le soláthraithe. Tá bord a chaithfidh na bearta a fhormheas ag iarraidh fianaise ar féidir leis í a leanúint: cé na soláthraithe a thacaíonn le cé na seirbhísí, cé na rioscaí atá fós ann, agus cad a tástáladh i ndáiríre.

05Tuairisciú teagmhas: 24 uair an chloig, 72 uair an chloig, mí amháin

Éilíonn Airteagal 23 ar eintitis teagmhais shuntasacha a thuairisciú dá CSIRT nó dá n-údarás inniúil. Bíonn teagmhas suntasach má chruthaigh sé, nó más féidir leis a chruthú, cur isteach tromchúiseach oibríochtúil nó caillteanas airgeadais don eintiteas, nó damáiste ábhartha nó neamhábhartha mór do dhaoine eile. Is i gcéimeanna a dhéantar an tuairisciú:

Nuair is iomchuí, ní mór d’eintitis faighteoirí a seirbhísí a chur ar an eolas gan moill mhíchuí faoi theagmhais shuntasacha ar dócha go ndéanfaidh siad difear do na seirbhísí sin. Cuireann dlíthe náisiúnta a bhfoirmeacha agus a dtairseacha féin leis sin.

Tosaíonn an clog nuair a thagann an teagmhas chun airde an eintitis. Má thosaíonn an teagmhas i gcóras soláthraí, ní féidir leis an gcustaiméir an spriocdháta 24 uair an chloig a chomhlíonadh ach amháin má bhraitheann an soláthraí é, má aithníonn sé é agus má chuireann sé ar aghaidh é laistigh de chúpla uair an chloig. Dá bhrí sin, is téarmaí conartha iad brath, logáil agus cainéal fógartha comhaontaithe, ní mionsonraí innealtóireachta amháin.

06Cad a iarrfaidh custaiméir faoi NIS2 ar a sholáthraí bogearraí

Go praiticiúil, is bearta teicniúla agus fianaise iad Airteagal 21 ba cheart a bheith ag soláthraí le taispeáint gan tionscadal a thosú. Seo iad na cinn a fheicimid is minice:

• Saolré forbartha slán. Samhaltú bagartha d’athruithe suntasacha, athbhreithniú piaraí, tástálacha slándála uathoibrithe agus scanadh spleáchas sa phíblíne, tógálacha sínithe agus bille ábhar bogearraí (SBOM) do gach eisiúint.
• Láimhseáil agus nochtadh leochaileachtaí. Bealach foilsithe chun leochaileachtaí a thuairisciú, amanna freagartha comhaontaithe de réir déine, agus fógra don chustaiméir nuair a dhéanann leochaileacht difear dá thimpeallacht.
• Rialú rochtana d’fhoireann an tsoláthraí. Cuntais ainmnithe, fíordheimhniú ilfhachtóireach, an phribhléid is lú, rochtain ardaithe ar feadh tréimhse theoranta agus loga de gach gníomh riaracháin i dtimpeallacht an chustaiméara.
• Logáil agus fianaise teagmhais. Imeachtaí a bhaineann le slándáil logáilte le stampaí ama iontaofa, coinnithe ar feadh tréimhse chomhaontaithe agus in-easpórtáilte, ionas gur féidir leis an gcustaiméir ceisteanna an luathrabhaidh agus na tuarascála deiridh a fhreagairt.
• Comhoibriú le linn teagmhas. Teagmhálaí agus cainéal ainmnithe, am fógartha atá go maith laistigh de 24 uair an chloig an chustaiméara, agus tacaíocht leis an anailís ar an mbunchúis.
• Leanúnachas agus téarnamh. Cúltacaí a cruthaíodh trí iad a athchóiriú, cuspóirí téarnaimh atá ailínithe le cuspóirí an chustaiméara, agus nós imeachta a cleachtadh.
• Doiciméadacht an tslabhra soláthair. Liosta reatha d’fhochonraitheoirí agus d’áiteanna óstála, agus de na príomhchomhpháirteanna agus seirbhísí tríú páirtí a bhfuil an réiteach ag brath orthu.
• Plean scoir. Sonraí a easpórtáil i bhformáidí inúsáidte, doiciméadacht agus tacaíocht aistrithe, ionas gur féidir leis an gcustaiméir soláthraí a athrú gan smacht ar an tseirbhís a chailleadh.

Níl aon chuid de seo nua d’fhoirne innealtóireachta aibí. Is é an t-athrú a thugann NIS2 isteach go gcaithfidh an custaiméir a bheith in ann é a léiriú. Déanann ár leathanach Iontaoibh agus comhlíonadh cur síos ar ár modh oibre mar sholáthraí, lena n-áirítear ár gcóras bainistíochta slándála faisnéise atá deimhnithe de réir ISO/IEC 27001.

07Seicliosta do chonarthaí agus don soláthar

1. 01Mapáil soláthraithe le seirbhísí. Taifead cé na soláthraithe a thacaíonn le cé na seirbhísí atá i raon feidhme, agus cé acu a bhfuil rochtain acu ar do chórais nó ar do shonraí.
2. 02Aicmigh de réir criticiúlachta. Cuir na ceanglais is troime ar sholáthraithe a reáchtálann córais chriticiúla nó ar féidir leo iad a athrú.
3. 03Scríobh na bearta isteach sa chonradh. Ceanglais slándála, am agus cainéal fógartha teagmhas, láimhseáil leochaileachtaí, logáil agus coinneáil, cearta iniúchta nó fianaise, rialacha fochonraitheoireachta agus áiteanna.
4. 04Iarr fianaise, ní dearbhuithe. Teastais lena raon feidhme, torthaí tástála, SBOM, dáta na tástála athchóirithe is déanaí.
5. 05Comhaontaigh an scor roimh ré. Aischur sonraí, tacaíocht aistrithe agus an tréimhse ina gcoinníonn an soláthraí an tseirbhís ag rith.
6. 06Cleacht le chéile. Reáchtáil cleachtadh teagmhais le do sholáthraithe criticiúla, lena n-áirítear an luathrabhadh 24 uair an chloig.
7. 07Athbhreithnigh go rialta. Athraíonn soláthraithe, seirbhísí agus bagairtí; bíonn clár soláthraithe a nuashonraítear uair sa bhliain as dáta don chuid is mó den bhliain.

08Is é an dlí náisiúnta a shocraíonn na mionsonraí

Is ón dlí náisiúnta a thagann clárú, tairseacha tuairiscithe, foirmeacha, an t-údarás inniúil agus aon cheanglais bhreise. Nascann roinnt Ballstát bearta Airteagal 21 le creat nó deimhniú náisiúnta. Mar riail, tagann eintiteas faoin mBallstát ina bhfuil sé bunaithe. Déanann Airteagal 26 eisceachtaí: tagann soláthraithe cumarsáide leictreonaí poiblí faoi gach tír ina soláthraíonn siad seirbhísí, soláthraithe néil, ionad sonraí agus seirbhísí bainistithe agus roinnt soláthraithe digiteacha eile faoi thír a bpríomhbhunaíochta, agus eintitis riaracháin phoiblí faoin stát a bhunaigh iad. In Éirinn, go dtí go n-achtófar an tAcht nua, ní fios na mionsonraí sin go cinnte; is bunús maith iad bearta Airteagal 21 agus dréacht-treoir an NCSC chun ullmhú anois.

09Cad is fiú a leanúint sna míonna amach romhainn

• Foilsiú an bhille náisiúnta cibearshlándála agus a phlé i dTithe an Oireachtais, treoir chríochnaitheach an NCSC, agus an cás a chuir an Coimisiún faoi bhráid na Cúirte Breithiúnais.
• Togra Omnibus Digiteach (osclaítear suíomh seachtrach) an Choimisiúin an 19 Samhain 2025, COM(2025) 837, a sheolfadh tuarascálacha teagmhais faoi NIS2, faoin RGCS, faoi DORA agus faoi dhlíthe eile trí phointe iontrála aonair arna reáchtáil ag ENISA. I mí Dheireadh Fómhair 2026 bhí sé fós os comhair Pharlaimint na hEorpa (osclaítear suíomh seachtrach)); go dtí go nglacfar é agus go mbeidh feidhm aige, fanann na cainéil agus na spriocdhátaí reatha.
• Measúnuithe riosca comhordaithe AE ar shlabhraí soláthair criticiúla TFC faoi Airteagal 22, ar gá d’eintitis iad a chur san áireamh agus bearta soláthraithe á roghnú acu.
• Amlíne an Ghnímh um Chibear-Athléimneacht do tháirgí bogearraí, a mbeidh feidhm iomlán aige ón 11 Nollaig 2027.

I gcás eintiteas airgeadais, glacann an Rialachán maidir le hathléimneacht dhigiteach oibríochtúil (DORA) áit rialacha NIS2 maidir le bainistíocht riosca TFC, tuairisciú teagmhas agus maoirseacht; féach ar ár n-alt DORA agus soláthraithe seirbhísí tríú páirtí TFC: an méid a theastaíonn ó eintitis airgeadais. Coinníonn an Coimisiún forbhreathnú ar NIS2 agus ar a gníomhartha cur chun feidhme ar a leathanach beartais faoi NIS2 (osclaítear suíomh seachtrach).