Prema NIS2 direktivi (Directive (EU) 2022/2555), prekršitelji mogu biti suočeni sa znatnim kaznama koje su proporcionalne težini prekršaja. Hrvatski ZKS prepisuje ove kazne iz NIS2 direktive, a one mogu biti:
- Korektivne mjere
- Novčane kazne
- Sankcije za upravu
Korektivne mjere
Svaka država članica ima svoje središnje tijelo nadležno za sektor kojim se subjekt bavi koje može propisati nenovčane kazne među kojima su:
- Upozorenja o povredama zakona.
- Obvezujuće upute ili nalozi kojima se zahtijeva da se otklone utvrđeni nedostatci ili povrede Zakona.
- Izdavanje naloga za provedbu sigurnosnih revizija primijenjenih kibernetičkih mjera.
- Objava aspekta povrede kibernetičke sigurnosti.
Zakon o kibernetičkoj sigurnosti dodaje još dvije korektivne mjere koje se mogu propisati:
- Nalog nadležnog tijela da se prestane s postupcima kojima se krši Zakon.
- Nalog da se provedu preporuke iz izvješća o provedenoj reviziji kibernetičke sigurnosti ili analize sigurnosti.
Novčane kazne
Direktiva predviđa i novčane kazne značajnih iznosa. Prema novoj direktivi, države članice EU samostalno određuju visine iznosa ovih kazni uz uvjet da se pridržavaju kriterija donjih granica maksimalnih kazni određenih NIS2 direktivom.
U skladu s time, maksimalne kazne za ključne subjekte moraju biti najmanje 10 milijuna eura ili 2 % globalnog godišnjeg prihoda ovisno o tome koji je veći.
Za važne subjekte maksimalna kazna mora biti barem 7 milijuna eura ili 1,4 % globalnog godišnjeg prihoda ovisno o tome koji je veći.
Sankcije za upravu društva
Prema članku 20. Direktive (EU) 2022/2555 uprave važnih i ključnih subjekata moraju odobriti mjere upravljanja rizicima kibernetičke sigurnosti, nadzirati njihovu provedbu te redovito prolaziti obuku kako bi stekla potrebna znanja i vještine za procjenu i upravljanje rizicima. Ukoliko organizacija ne poštuje ove obveze, članovi uprave mogu biti osobno odgovorni, što uključuje mogućnost privremene zabrane obavljanja upravljačkih funkcija.
Prema direktivi, uprave društva mogu biti osobno odgovorne za svaki incident koji se dogodi u organizaciji. Iz tog razloga moraju posvetiti veliku pažnju da svi osjetljivi dijelovi organizacije imaju visoku kibernetičku otpornost.
U slučaju da se ogluše na zahtjeve NIS2 direktive uvedene u ZKS, članovi uprave društava mogu dobiti zabranu obavljanja dužnosti u svojoj industriji, ili se od njih može zahtijevati da objave informaciju da su prekršili direktivu te popis odgovornih osoba.
