টম মিভিস, আইনজীবী কর্তৃক Law & More
সাইবার নিরাপত্তা এখন আর শুধুমাত্র একটি প্রযুক্তিগত বিষয় নয়। এটি একটি আইনি এবং প্রশাসনিক বিষয়ও, যা কার্যত যেকোনো আকারের প্রতিটি সংস্থাকে প্রভাবিত করে।
ইউরোপীয় NIS2 নির্দেশিকা এবং ডাচ সাইবার নিরাপত্তা আইনের ফলে, ডিজিটাল স্থিতিস্থাপকতার দায়িত্ব দৃঢ়ভাবে পরিচালনা পর্ষদের উপর বর্তায়। ডাচ সাইবার নিরাপত্তা আইনটি ১৫ আগস্ট ২০২৬ থেকে কার্যকর হবে। তাই ব্যবসার মালিক, পরিচালক এবং কমপ্লায়েন্স কর্মকর্তাদের স্বল্প সময়ের মধ্যে নিম্নলিখিত বিষয়গুলো প্রতিষ্ঠা করতে হবে:
- তাদের সংস্থাটি নতুন নিয়মাবলীর আওতাভুক্ত হয় কিনা;
- যে বাধ্যবাধকতাগুলো সেগুলোর ফলস্বরূপ উদ্ভূত হয়;
- কোন কোন পদক্ষেপ প্রয়োজন;
- এবং সংস্থাটি কীভাবে সেই বাধ্যবাধকতাগুলো পূরণ করতে পারে।
এই নিবন্ধে NIS2 এবং ডাচ সাইবার নিরাপত্তা আইনের প্রধান উপাদানগুলো তুলে ধরা হয়েছে: এর পরিধি, যত্ন নেওয়ার দায়িত্ব, বিজ্ঞপ্তি দেওয়ার দায়িত্ব, পরিচালনা পর্ষদের দায়িত্ব, প্রয়োগ এবং সংস্থাগুলো এখন যে পদক্ষেপগুলো নিতে পারে।
NIS2 কী?
NIS2 হলো (EU) 2022/2555 নির্দেশিকার আনুষ্ঠানিক নাম। এটি প্রথম ইউরোপীয় নেটওয়ার্ক এবং তথ্য সুরক্ষা নির্দেশিকার উত্তরসূরি, যা সাধারণত NIS1 নামে পরিচিত।
সদস্য রাষ্ট্রগুলোকে ১৭ অক্টোবর ২০২৪-এর মধ্যে এনআইএস২-কে জাতীয় আইনে অন্তর্ভুক্ত করতে বলা হয়েছিল। ১৮ অক্টোবর ২০২৪ থেকে এনআইএস২ আনুষ্ঠানিকভাবে পূর্ববর্তী নির্দেশিকাটিকে প্রতিস্থাপন করে।
এর লক্ষ্য হলো ইউরোপীয় ইউনিয়নের মধ্যে সাইবার স্থিতিস্থাপকতার স্তরকে উন্নত করা এবং আরও ভালোভাবে সমন্বয় করা। এটি দুটি প্রধান ধারার ওপর ভিত্তি করে পরিচালিত হয়। প্রথমত, এর পরিধি আরও বিস্তৃত করা হয়েছে: NIS1-এর তুলনায় অনেক বেশি সংস্থা এই নিয়মের আওতায় আসে। দ্বিতীয়ত, পরিচালকদের জন্য আরও ব্যাপক কর্মপন্থা এবং সুস্পষ্ট দায়িত্বসহ কঠোর তত্ত্বাবধান ও কড়া প্রয়োগ নিশ্চিত করা হয়েছে।
যেখানে এনআইএস১ অত্যাবশ্যকীয় পরিষেবার অপারেটর এবং ডিজিটাল পরিষেবা প্রদানকারীদের মধ্যে পার্থক্য করত, সেখানে এনআইএস২ অত্যাবশ্যকীয় সত্তা এবং গুরুত্বপূর্ণ সত্তা নিয়ে কাজ করে। এই পার্থক্যটি কেবল পরিভাষাগত নয়: অন্যান্য বিষয়ের মধ্যে এটি তত্ত্বাবধানের তীব্রতা এবং সম্ভাব্য জরিমানার মাত্রা নির্ধারণ করে।
কোন কোন সংস্থা NIS2-এর আওতাভুক্ত?
NIS2 আঠারোটি নির্দিষ্ট খাতে সক্রিয় সংস্থাগুলির ক্ষেত্রে প্রযোজ্য, যেগুলিকে উচ্চ সংকটপূর্ণ খাত এবং অন্যান্য সংকটপূর্ণ খাতে বিভক্ত করা হয়েছে।
অত্যন্ত গুরুত্বপূর্ণ খাতগুলোর মধ্যে রয়েছে জ্বালানি, পরিবহন, ব্যাংকিং, আর্থিক বাজার অবকাঠামো, স্বাস্থ্যসেবা, পানীয় জল ও বর্জ্য জল, ডিজিটাল অবকাঠামো, ব্যবসায়িক ব্যবহারকারীদের জন্য আইসিটি পরিষেবা ব্যবস্থাপনা, জনপ্রশাসন এবং মহাকাশ।
অন্যান্য গুরুত্বপূর্ণ খাতগুলোর মধ্যে রয়েছে ডাক ও কুরিয়ার পরিষেবা, বর্জ্য ব্যবস্থাপনা, রাসায়নিক, খাদ্য, উৎপাদন, ডিজিটাল পরিষেবা প্রদানকারী এবং গবেষণা প্রতিষ্ঠান।
আকারের সীমা
এই খাতগুলোর ক্ষেত্রে মূল নিয়মটি হলো, কোনো প্রতিষ্ঠান মাঝারি বা বৃহৎ আকারের উদ্যোগ হিসেবে যোগ্যতা অর্জন করলে তা NIS2-এর আওতায় পড়ে। এর মানদণ্ডগুলো হলো কমপক্ষে ৫০ জন কর্মচারী, অথবা বার্ষিক টার্নওভার বা ব্যালেন্স শীটের মোট পরিমাণ ১০ মিলিয়ন ইউরোর বেশি হওয়া।
এই প্রধান নিয়মের কিছু ব্যতিক্রম রয়েছে। কিছু নির্দিষ্ট সংস্থা আকার নির্বিশেষে এর আওতাভুক্ত হয়, কারণ তাদের পরিষেবাগুলিকে বিশেষভাবে গুরুত্বপূর্ণ বলে মনে করা হয়:
- গণবৈজ্ঞানিক ইলেকট্রনিক যোগাযোগ নেটওয়ার্ক ও পরিষেবা প্রদানকারী;
- বিশ্বাসযোগ্য পরিষেবা প্রদানকারী;
- ডোমেইন নাম নিবন্ধন পরিষেবা প্রদানকারী;
- শীর্ষ-স্তরের ডোমেইন নাম রেজিস্ট্রি;
- সরকারি খাতের সংস্থা।
২০২৬ সালের ১৫ই আগস্ট থেকে নেদারল্যান্ডসের ৮,০০০-এরও বেশি প্রতিষ্ঠানের উপর নতুন বাধ্যবাধকতাগুলো প্রযোজ্য হবে। বর্তমান নেটওয়ার্ক ও তথ্য ব্যবস্থা নিরাপত্তা আইনের আওতাভুক্ত সংখ্যার তুলনায় এটি একটি উল্লেখযোগ্য সম্প্রসারণ।
যেসব প্রতিষ্ঠান আগে নিজেদেরকে গুরুত্বপূর্ণ খাতের অংশ হিসেবে দেখত না, তারাও এর আওতায় আসতে পারে; যার মধ্যে রয়েছে মাঝারি আকারের উৎপাদনকারী প্রতিষ্ঠান, খাদ্য উৎপাদক, গবেষণা প্রতিষ্ঠান এবং ডিজিটাল পরিষেবা প্রদানকারী। গুরুত্বপূর্ণ বিষয় হলো, প্রতিষ্ঠানগুলো নিজেরাই এই মূল্যায়নের জন্য দায়ী যে তারা এর আওতাভুক্ত কি না। তত্ত্বাবধায়কের পক্ষ থেকে এমন কোনো চিঠি আসবে না যা তাদের এই বিষয়ে অবহিত করবে।
যত্ন নেওয়ার দায়িত্ব: কী কী ব্যবস্থা প্রয়োজন?
NIS2 এবং ডাচ সাইবার নিরাপত্তা আইনের মূল ভিত্তি হলো যত্ন নেওয়ার দায়িত্ব। অপরিহার্য ও গুরুত্বপূর্ণ প্রতিষ্ঠানগুলোকে তাদের নেটওয়ার্ক এবং তথ্য ব্যবস্থার ঝুঁকি ব্যবস্থাপনার জন্য যথাযথ ও আনুপাতিক প্রযুক্তিগত, পরিচালনগত এবং সাংগঠনিক ব্যবস্থা গ্রহণ করতে হবে।
নিয়মাবলীতে সেই বিষয়গুলো চিহ্নিত করা হয়েছে যা নীতিমালায় যেকোনো পরিস্থিতিতেই অন্তর্ভুক্ত করতে হবে:
- ঝুঁকি বিশ্লেষণ এবং তথ্য নিরাপত্তা নীতি;
- ঘটনা পরিচালনা;
- ব্যবসায়িক ধারাবাহিকতা, ব্যাকআপ ব্যবস্থাপনা এবং দুর্যোগ পুনরুদ্ধার;
- সরবরাহ শৃঙ্খল নিরাপত্তা;
- সাইবার স্বাস্থ্যবিধি এবং কর্মী প্রশিক্ষণ;
- দুর্বলতা মোকাবেলার নীতিমালা;
- মাল্টি-ফ্যাক্টর অথেনটিকেশন;
- সুরক্ষিত যোগাযোগ ব্যবস্থা;
- ক্রিপ্টোগ্রাফি;
- গৃহীত পদক্ষেপগুলোর কার্যকারিতার পর্যায়ক্রমিক মূল্যায়ন।
গৃহীত পদক্ষেপগুলো অবশ্যই প্রতিষ্ঠানের আকার এবং এটি প্রকৃতপক্ষে যে ঝুঁকির সম্মুখীন হয় তার সাথে সামঞ্জস্যপূর্ণ হতে হবে। সুতরাং, একটি উচ্চ-ঝুঁকিপূর্ণ খাতে একটি বৃহৎ অপরিহার্য প্রতিষ্ঠানের মতো একই পদক্ষেপ একটি ছোট গুরুত্বপূর্ণ প্রতিষ্ঠানকে গ্রহণ করতে হবে না।
এর ফলে যত্ন নেওয়ার দায়িত্ব ঐচ্ছিক হয়ে যায় না। প্রতিষ্ঠানগুলোকে অবশ্যই প্রমাণ করতে হবে যে তারা কোন ঝুঁকিগুলো চিহ্নিত করেছে, কোন পদক্ষেপগুলো নিয়েছে এবং কেন সেই পদক্ষেপগুলো যথাযথ। শুধু গৃহীত পদক্ষেপগুলোই নয়, বরং সেগুলোকে যেভাবে মূল্যায়ন, লিপিবদ্ধ এবং পর্যায়ক্রমে পর্যালোচনা করা হয়, সেই পদ্ধতিও তত্ত্বাবধানের আওতাধীন।
একটি ঘটনার পর বিজ্ঞপ্তি প্রদানের দায়িত্ব
যত্ন নেওয়ার কর্তব্যের পাশাপাশি, NIS2 গুরুত্বপূর্ণ ঘটনাগুলির জন্য একটি পর্যায়ক্রমিক বিজ্ঞপ্তি প্রদানের কর্তব্য আরোপ করে। যেখানে কোনো ঘটনা পরিষেবার ধারাবাহিকতার উপর ব্যাপক প্রভাব ফেলে বা ফেলতে পারে, সেখানে সাধারণভাবে নিম্নলিখিত সময়সীমাগুলি প্রযোজ্য হয়:
- ২৪ ঘন্টার মধ্যে, জাতীয় কম্পিউটার নিরাপত্তা ঘটনা প্রতিক্রিয়া দল বা উপযুক্ত কর্তৃপক্ষকে একটি প্রাথমিক সতর্কবার্তা;
- ৭২ ঘন্টার মধ্যে, তীব্রতা ও প্রভাবের প্রাথমিক মূল্যায়নসহ একটি আনুষ্ঠানিক বিজ্ঞপ্তি;
- সর্বোচ্চ এক মাসের মধ্যে, ঘটনাটি, এর সম্ভাব্য মূল কারণ, গৃহীত পদক্ষেপ এবং এর কোনো আন্তঃসীমান্ত প্রভাব থাকলে তা বর্ণনা করে একটি চূড়ান্ত প্রতিবেদন জমা দিতে হবে।
এই সময়সীমাগুলোর কারণে আগে থেকেই সুস্পষ্ট কার্যপ্রণালী নির্ধারণ করা আবশ্যক। প্রতিষ্ঠানকে অবশ্যই জানতে হবে কখন কোনো ঘটনা জানানোর যোগ্য, কে জানানোর জন্য অনুমোদিত, কী কী তথ্য অবশ্যই উপলব্ধ থাকতে হবে, কে সমন্বয় করবে এবং বোর্ড ও তত্ত্বাবধায়ককে কীভাবে জানানো হবে।
কোনো সংস্থা যদি কোনো ঘটনা ঘটার ঠিক আগে বিজ্ঞপ্তি প্রক্রিয়া চালু করার চেষ্টা করে, তবে তাদের পক্ষে সময়মতো বা সম্পূর্ণভাবে প্রতিবেদন জমা দিতে না পারার একটি বড় ঝুঁকি থাকে।
বোর্ডের দায়িত্ব
NIS2-এর একটি গুরুত্বপূর্ণ উপাদান হলো, সাইবার ঝুঁকি ব্যবস্থাপনার দায়িত্ব সুস্পষ্টভাবে পরিচালনা পর্ষদের ওপর অর্পণ করা হয়েছে। পর্ষদকে অবশ্যই নিরাপত্তা ব্যবস্থাগুলো অনুমোদন করতে হবে, সেগুলোর বাস্তবায়ন তদারকি করতে হবে, প্রতিষ্ঠানের সাইবার ঝুঁকি মূল্যায়ন করতে সক্ষম হতে হবে এবং নিজেরাও পর্যাপ্ত প্রশিক্ষণ গ্রহণ করতে হবে।
সুতরাং সাইবার নিরাপত্তাকে আর শুধুমাত্র আইটি বিভাগের দায়িত্ব হিসেবে গণ্য করা যায় না। এটি একটি প্রশাসনিক বিষয় যা নিয়মিত সিদ্ধান্ত গ্রহণ এবং ঝুঁকি ব্যবস্থাপনার অংশ হওয়া আবশ্যক।
সংস্থাটি নির্দেশিকা মেনে চলতে ব্যর্থ হলে ঊর্ধ্বতন ব্যবস্থাপনার ব্যক্তিগত দায়বদ্ধতার বিষয়টিও এই নির্দেশনায় স্পষ্টভাবে উল্লেখ করা হয়েছে। সেই অনুযায়ী বোর্ডের সম্পৃক্ততা নথিভুক্ত করুন, যেমন—গৃহীত প্রশিক্ষণ, বোর্ডের সিদ্ধান্ত, অনুমোদিত নীতি, ঝুঁকি মূল্যায়ন, প্রতিবেদন এবং বাস্তবায়ন তদারকির মতো বিষয়গুলো নথিভুক্ত করার মাধ্যমে।
ডাচ বাস্তবায়ন
নেদারল্যান্ডসে NIS2 বাস্তবায়ন যথেষ্ট বিলম্বিত হয়েছে। ১৭ অক্টোবর ২০২৪-এর রূপান্তরের সময়সীমা পূরণ করা সম্ভব হয়নি।
২০২৬ সালের ৮ই জুলাই ইউরোপীয় কমিশন, রূপান্তরমূলক ব্যবস্থা সম্পর্কে অবহিত করতে ব্যর্থ হওয়ায় নেদারল্যান্ডসকে আয়ারল্যান্ড, স্পেন এবং ফ্রান্সের সাথে ইউরোপীয় ইউনিয়নের বিচার আদালতে প্রেরণ করার সিদ্ধান্ত নেয়। এর ফলে নেদারল্যান্ডস ইউরোপীয় ইউনিয়নের চারটি পিছিয়ে থাকা দেশের মধ্যে অন্যতম হয়ে ওঠে।
সময়টা বেশ তাৎপর্যপূর্ণ। এর ঠিক একদিন আগে, ৭ জুলাই ২০২৬ তারিখে, সিনেট সাইবারসিকিউরিটি অ্যাক্ট এবং ক্রিটিক্যাল এনটিটিজ রেজিলিয়েন্স অ্যাক্ট অনুমোদন করেছিল। রেফারেল পাঠানোর আগেই আইনটি গৃহীত হওয়ায় তা মামলার ফলাফলের ওপর কোনো প্রভাব ফেলে কি না, তা এখনও দেখার বিষয়; সেই সিদ্ধান্ত আদালতকেই নিতে হবে।
উভয় আইনই ১৫ আগস্ট ২০২৬ তারিখে কার্যকর হবে। সাইবার নিরাপত্তা আইনটি এনআইএস২ (NIS2) নির্দেশিকা বাস্তবায়ন করে; ক্রিটিক্যাল এনটিটিজ রেজিলিয়েন্স অ্যাক্টটি ইউরোপীয় সিইআর (CER) নির্দেশিকা বাস্তবায়ন করে, যার লক্ষ্য গুরুত্বপূর্ণ অবকাঠামোর স্থিতিস্থাপকতা। পরবর্তীটির আওতাভুক্ত সংস্থাগুলোকে ১৫ আগস্ট ২০২৬ তারিখ থেকে আনুষ্ঠানিকভাবে গুরুত্বপূর্ণ সত্তা হিসেবে মনোনীত করা হবে।
এই আইন কার্যকর হওয়ার সাথে সাথে বর্তমান নেটওয়ার্ক ও তথ্য ব্যবস্থা নিরাপত্তা আইন (ডব্লিউবিএনআই) বাতিল হয়ে যাবে। যেসব সংস্থা ইতিমধ্যেই এই আইনের আওতাভুক্ত, তাদের জন্য এর অর্থ হলো আরও কঠোর বাধ্যবাধকতা; আর যেসব সংস্থা প্রথমবারের মতো এর আওতায় আসছে, তাদের জন্য একটি সম্পূর্ণ নতুন ব্যবস্থা চালু হবে।
এনসিএসসি-তে নিবন্ধন
একটি গুরুত্বপূর্ণ নতুন বাধ্যবাধকতা হলো জাতীয় সাইবার নিরাপত্তা কেন্দ্রে নিবন্ধন। অপরিহার্য ও গুরুত্বপূর্ণ প্রতিষ্ঠানগুলোকে অবশ্যই জাতীয় সত্তা রেজিস্টারে অন্তর্ভুক্ত করতে হবে। এই নিবন্ধন ১৫ আগস্ট ২০২৬ থেকে বাধ্যতামূলক এবং এটি MijnNCSC পোর্টালের মাধ্যমে পরিচালিত হয়; সাধারণ সংস্থাগুলোর জন্য eHerkenning এবং সরকারি সংস্থাগুলোর জন্য SSOnRijk ব্যবহার করা হয়। নিবন্ধিত তথ্যে কোনো পরিবর্তন হলে তা চৌদ্দ দিনের মধ্যে জানাতে হবে।
নিবন্ধন শুধুমাত্র একটি প্রশাসনিক আনুষ্ঠানিকতা নয়। একবার নিবন্ধিত হয়ে গেলে, সংস্থাগুলো তাদের CSIRT-এর পরিষেবাগুলোর সাথে যুক্ত হতে পারে, যা স্থিতিস্থাপকতা বাড়ানোর জন্য পণ্য ও পরিষেবা সরবরাহ করে এবং কোনো ঘটনার ক্ষেত্রে সহায়তা প্রদান করে। সময়মতো নিবন্ধনের প্রস্তুতি নিন, যাতে বাস্তবায়ন কেবল আইন কার্যকর হওয়ার পরেই শুরু না হয়।
তত্ত্বাবধান এবং প্রয়োগ
সাইবার নিরাপত্তা আইনে একটি পৃথক তত্ত্বাবধান ব্যবস্থার বিধান রয়েছে। অত্যাবশ্যকীয় সত্তাগুলো সক্রিয় তত্ত্বাবধানের আওতাধীন: তত্ত্বাবধায়ক কোনো নির্দিষ্ট ঘটনা বা সংকেত ছাড়াই ক্রমাগত এবং স্বতঃপ্রণোদিত হয়ে যাচাই করতে পারে। গুরুত্বপূর্ণ সত্তাগুলো প্রতিক্রিয়াশীল তত্ত্বাবধানের আওতাধীন, যেখানে তত্ত্বাবধায়ক নীতিগতভাবে কোনো ঘটনা, অভিযোগ বা অন্য কোনো সুনির্দিষ্ট সংকেতের প্রতিক্রিয়ায় পদক্ষেপ গ্রহণ করে।
তত্ত্বাবধানের দায়িত্ব বিভিন্ন কর্তৃপক্ষের মধ্যে বিভক্ত। ২০২৬ সালের ১৫ই আগস্ট থেকে ডাচ ডিজিটাল অবকাঠামো কর্তৃপক্ষ নয়টি খাতের সংস্থাগুলোর তত্ত্বাবধান করবে; অন্যান্য খাতের জন্য অন্য তত্ত্বাবধায়ক নিযুক্ত করা হয়েছে। আপনার সংস্থার জন্য কোন তত্ত্বাবধায়ক উপযুক্ত, তা নির্ধারণ করুন।
প্রয়োগের সরঞ্জামগুচ্ছটি ব্যাপক এবং এতে অন্তর্ভুক্ত রয়েছে:
- একটি নিরাপত্তা স্ক্যান বা নিরাপত্তা নিরীক্ষা;
- একটি বাধ্যতামূলক নির্দেশ;
- একটি প্রশাসনিক বলবৎকরণ আদেশ অথবা জরিমানা প্রদানের শর্তাধীন একটি আদেশ;
- লঙ্ঘনের প্রকাশনা;
- একটি প্রশাসনিক জরিমানা;
- অত্যাবশ্যকীয় সত্তার ক্ষেত্রে: কোনো সনদ, অনুমোদন বা পরিচালনা পর্ষদের সদস্যের স্থগিতাদেশ।
অত্যাবশ্যকীয় প্রতিষ্ঠানগুলোর জন্য সর্বোচ্চ জরিমানা হলো কমপক্ষে ১০ মিলিয়ন ইউরো অথবা মোট বিশ্বব্যাপী বার্ষিক টার্নওভারের ২%, এই দুটির মধ্যে যেটি বেশি। গুরুত্বপূর্ণ প্রতিষ্ঠানগুলোর জন্য এটি কমপক্ষে ৭ মিলিয়ন ইউরো অথবা বিশ্বব্যাপী বার্ষিক টার্নওভারের ১.৪%, এক্ষেত্রেও এই দুটির মধ্যে যেটি বেশি। চূড়ান্ত পরিমাণটি মামলার পরিস্থিতির উপর নির্ভর করে, যার মধ্যে রয়েছে লঙ্ঘনের প্রকৃতি, গুরুত্ব ও সময়কাল, দোষের মাত্রা এবং গৃহীত পদক্ষেপসমূহ।
আপনার প্রতিষ্ঠান এখন কী করতে পারে?
- একটি স্ব-মূল্যায়ন পরিচালনা করুন। প্রতিষ্ঠানটি একটি নির্ধারিত খাতে সক্রিয় কিনা এবং আকারের সীমা পূরণ করে কিনা তা যাচাই করুন।
- সঠিক শ্রেণী নির্ধারণ করুন। সংস্থাটি একটি অপরিহার্য বা গুরুত্বপূর্ণ সত্তা হিসেবে যোগ্য কিনা এবং কোন তত্ত্বাবধায়ক যোগ্য, তা প্রতিষ্ঠা করুন।
- নিবন্ধনের প্রস্তুতি নিন। MijnNCSC-এর মাধ্যমে NCSC-তে নিবন্ধনের জন্য প্রয়োজনীয় তথ্য সংগ্রহ করুন।
- যত্নশীলতার দায়িত্ব পালনের ব্যবস্থাগুলো পরীক্ষা করুন। ঝুঁকি বিশ্লেষণ, ঘটনা প্রতিক্রিয়া, ব্যবসায়িক ধারাবাহিকতা, সরবরাহ শৃঙ্খল নিরাপত্তা, সাইবার স্বাস্থ্যবিধি, দুর্বলতা, মাল্টি-ফ্যাক্টর প্রমাণীকরণ এবং ক্রিপ্টোগ্রাফির উপর বিদ্যমান ব্যবস্থাগুলো মূল্যায়ন করুন।
- বিজ্ঞপ্তি প্রক্রিয়াটি স্থাপন করুন। কোনো ঘটনা বিজ্ঞপ্তিযোগ্য কিনা তা কে মূল্যায়ন করে, কে বিজ্ঞপ্তি দেয় এবং ২৪-ঘণ্টা, ৭২-ঘণ্টা ও এক-মাসের সময়সীমা কীভাবে পূরণ করা হয়, তা নথিভুক্ত করুন।
- বোর্ডকে দৃশ্যমানভাবে সম্পৃক্ত করুন। বোর্ড কোন কোন সিদ্ধান্ত নিয়েছে, কোন কোন প্রশিক্ষণ গ্রহণ করা হয়েছে এবং বাস্তবায়নের তদারকি কীভাবে করা হয়, তা লিপিবদ্ধ করুন।
- সরবরাহ শৃঙ্খলকে অন্তর্ভুক্ত করুন। দুর্বলতার একটি বড় অংশ প্রতিষ্ঠানের অভ্যন্তরে নয়, বরং সরবরাহকারী এবং পরিষেবা প্রদানকারীদের কাছ থেকেই উদ্ভূত হয়। নিরাপত্তা ব্যবস্থা, অবহিতকরণের দায়িত্ব এবং নিরীক্ষার অধিকার সংক্রান্ত আপনার চুক্তিগুলো পর্যালোচনা করুন।
বন্ধ
সাইবার নিরাপত্তা আইন এবং ক্রিটিক্যাল এনটিটিজ রেজিলিয়েন্স অ্যাক্ট সাইবার নিরাপত্তা সংক্রান্ত বাধ্যবাধকতাকে উল্লেখযোগ্যভাবে আরও কঠোর করেছে। এর ব্যাপকতর পরিধি, সুনির্দিষ্ট সতর্কতামূলক ব্যবস্থা, বিজ্ঞপ্তি প্রদানের কঠোর সময়সীমা, পরিচালকদের ব্যক্তিগত দায়বদ্ধতা এবং একটি শক্তিশালী প্রয়োগ সরঞ্জাম থাকার কারণে সংস্থাগুলো এই বিষয়টি উপেক্ষা করতে পারে না। ১৫ আগস্ট ২০২৬-এ এটি কার্যকর হতে চলেছে, তাই প্রস্তুতির জন্য সময় খুব কম।
Law & More ব্যবসা প্রতিষ্ঠান, পরিচালক এবং কমপ্লায়েন্স কর্মকর্তাদের NIS2 এবং ডাচ সাইবারসিকিউরিটি আইনের অধীনে তাদের অবস্থান নির্ধারণ করতে, দায়িত্ব-পালন ব্যবস্থা স্থাপন ও পরীক্ষা করতে, NCSC-এর সাথে নিবন্ধনের প্রস্তুতি নিতে এবং সাইবারসিকিউরিটি নীতি আইনগতভাবে অন্তর্ভুক্ত করতে সহায়তা করে।
আপনি কি নতুন নিয়মাবলীর অধীনে আপনার প্রতিষ্ঠানের অবস্থান মূল্যায়ন করাতে চান? কোনো বাধ্যবাধকতা ছাড়াই আলোচনার জন্য নির্দ্বিধায় আমাদের সাথে যোগাযোগ করুন।
সচরাচর জিজ্ঞাস্য
এই বিষয়ে আমাদের কাছে প্রায়শই যে প্রশ্নগুলো করা হয়, নিচে সেগুলোর উত্তর দেওয়া হলো।
ডাচ সাইবার নিরাপত্তা আইন কখন কার্যকর হবে?
১৫ আগস্ট ২০২৬। সিনেট ৭ জুলাই ২০২৬ তারিখে সাইবারসিকিউরিটি অ্যাক্ট এবং ক্রিটিক্যাল এনটিটিজ রেজিলিয়েন্স অ্যাক্ট অনুমোদন করেছে। এটি কার্যকর হওয়ার সাথে সাথে বর্তমান নেটওয়ার্ক অ্যান্ড ইনফরমেশন সিস্টেমস সিকিউরিটি অ্যাক্ট (ডব্লিউবিএনআই) বাতিল হয়ে যাবে।
আমার সংস্থা কি NIS2-এর আওতাভুক্ত?
এটি আপনার খাত এবং আকারের উপর নির্ভর করে। NIS2 আঠারোটি নির্দিষ্ট খাতকে অন্তর্ভুক্ত করে এবং সেই খাতগুলোর মধ্যে, প্রধান নিয়ম হিসেবে কমপক্ষে ৫০ জন কর্মচারী অথবা যাদের বার্ষিক টার্নওভার বা ব্যালেন্স শীট মোট ১০ মিলিয়ন ইউরোর বেশি, এমন সংস্থাগুলো এর আওতাভুক্ত। কিছু পক্ষ আকার নির্বিশেষে এর আওতাভুক্ত হয়।
আমার প্রতিষ্ঠানটি অন্তর্ভুক্ত হলে আমাকে কি জানানো হবে?
না। প্রতিষ্ঠানগুলো সাইবার নিরাপত্তা আইনের আওতাভুক্ত কিনা, তা মূল্যায়ন করার দায়িত্ব তাদের নিজেদেরই। অপেক্ষা করলে, এই মূল্যায়ন সম্পন্ন হওয়ার আগেই বাধ্যবাধকতাগুলো প্রযোজ্য হওয়ার ঝুঁকি থাকে।
অপরিহার্য এবং গুরুত্বপূর্ণ সত্তার মধ্যে পার্থক্য কী?
এটি তত্ত্বাবধানের তীব্রতা এবং সম্ভাব্য জরিমানার মাত্রা নির্ধারণ করে। অত্যাবশ্যকীয় প্রতিষ্ঠানগুলো সক্রিয় তত্ত্বাবধানের আওতাধীন, যেখানে তত্ত্বাবধায়ক স্বতঃপ্রণোদিত হয়ে যাচাই করতে পারে। গুরুত্বপূর্ণ প্রতিষ্ঠানগুলো প্রতিক্রিয়াশীল তত্ত্বাবধানের আওতাধীন, যা কোনো ঘটনা, অভিযোগ বা অন্য কোনো সংকেতের পরিপ্রেক্ষিতে শুরু হয়।
যত্ন নেওয়ার দায়িত্বের মধ্যে কী কী অন্তর্ভুক্ত?
আপনার নেটওয়ার্ক এবং তথ্য সিস্টেমের ঝুঁকিগুলো ব্যবস্থাপনার জন্য যথাযথ ও আনুপাতিক প্রযুক্তিগত, পরিচালনগত এবং সাংগঠনিক ব্যবস্থা গ্রহণ করা, যার মধ্যে ঝুঁকি বিশ্লেষণ, ঘটনা মোকাবেলা, ব্যবসায়িক ধারাবাহিকতা, সরবরাহ শৃঙ্খল নিরাপত্তা, সাইবার স্বাস্থ্যবিধি, দুর্বলতা, মাল্টি-ফ্যাক্টর অথেনটিকেশন এবং ক্রিপ্টোগ্রাফির মতো বিষয়গুলো অন্তর্ভুক্ত। নির্বাচিত ব্যবস্থাগুলো কেন যথাযথ, তা আপনাকে অবশ্যই প্রমাণ করতে সক্ষম হতে হবে।
কোনো ঘটনার পর বিজ্ঞপ্তি দেওয়ার কোন সময়সীমা প্রযোজ্য হয়?
২৪ ঘণ্টার মধ্যে একটি আগাম সতর্কতা, ৭২ ঘণ্টার মধ্যে তীব্রতা ও প্রভাবের প্রাথমিক মূল্যায়নসহ একটি আনুষ্ঠানিক বিজ্ঞপ্তি এবং সর্বোচ্চ এক মাসের মধ্যে একটি চূড়ান্ত প্রতিবেদন। বিজ্ঞপ্তি প্রক্রিয়াটি আগে থেকেই প্রস্তুত করে রাখুন।
আমার সংস্থাকে কি নিবন্ধন করতে হবে?
হ্যাঁ। ২০২৬ সালের ১৫ই আগস্ট থেকে জাতীয় সত্তা রেজিস্টারে নিবন্ধন বাধ্যতামূলক এবং এটি MijnNCSC-এর মাধ্যমে eHerkenning ব্যবহার করে অথবা, সরকারি সংস্থাগুলোর জন্য, SSOnRijk ব্যবহার করে সম্পন্ন করা হয়। কোনো পরিবর্তন হলে তা চৌদ্দ দিনের মধ্যে জানাতে হবে। একবার নিবন্ধিত হয়ে গেলে আপনি আপনার CSIRT-এর পরিষেবাগুলোর সাথে সংযোগ করতে পারবেন।
বোর্ডের উপর কী দায়িত্ব বর্তায়?
বোর্ডকে অবশ্যই নিরাপত্তা ব্যবস্থাগুলো অনুমোদন করতে হবে, সেগুলোর বাস্তবায়ন তদারকি করতে হবে, সাইবার ঝুঁকি মূল্যায়ন করতে সক্ষম হতে হবে এবং নিজেদেরও প্রশিক্ষণ গ্রহণ করতে হবে। এই নির্দেশিকায় নিয়ম লঙ্ঘনের জন্য ঊর্ধ্বতন ব্যবস্থাপনার ব্যক্তিগত দায়বদ্ধতার কথা বলা হয়েছে, তাই সিদ্ধান্ত, প্রশিক্ষণ এবং তদারকির বিষয়গুলো সুস্পষ্টভাবে নথিভুক্ত করতে হবে।
জরিমানার পরিমাণ কত?
অত্যাবশ্যকীয় প্রতিষ্ঠানগুলোর জন্য কমপক্ষে ১০ মিলিয়ন ইউরো অথবা বিশ্বব্যাপী বার্ষিক টার্নওভারের ২%; গুরুত্বপূর্ণ প্রতিষ্ঠানগুলোর জন্য কমপক্ষে ৭ মিলিয়ন ইউরো অথবা ১.৪%, উভয় ক্ষেত্রে যেটি বেশি হবে। চূড়ান্ত পরিমাণটি লঙ্ঘনের প্রকৃতি, গুরুত্ব ও সময়কাল এবং দোষের মাত্রার মতো বিভিন্ন বিষয়ের উপর নির্ভর করবে।
কে সম্মতি তদারকি করে?
এটি খাতভেদে ভিন্ন হয়। ২০২৬ সালের ১৫ই আগস্ট থেকে ডাচ ডিজিটাল অবকাঠামো কর্তৃপক্ষ নয়টি খাতের সংস্থাগুলোর তত্ত্বাবধান করে; অন্যান্য খাতের জন্য ভিন্ন তত্ত্বাবধায়ক নিযুক্ত করা হয়েছে। আপনার সংস্থার জন্য কোন তত্ত্বাবধায়ক উপযুক্ত, তা নির্ধারণ করুন।
নেদারল্যান্ডসকে কেন ইউরোপীয় বিচার আদালতে পাঠানো হয়েছে?
NIS2 দেরিতে কার্যকর করার জন্য। ২০২৬ সালের ৮ই জুলাই ইউরোপীয় কমিশন, রূপান্তর ব্যবস্থা সম্পর্কে অবহিত করতে ব্যর্থ হওয়ায়, নেদারল্যান্ডসকে আয়ারল্যান্ড, স্পেন এবং ফ্রান্সের সাথে একত্রে ইউরোপীয় বিচার আদালতে প্রেরণ করার সিদ্ধান্ত নেয়। সাইবার নিরাপত্তা আইনটি একদিন আগে গৃহীত হয়েছিল, এই ঘটনাটি স্বয়ংক্রিয়ভাবে সেই কার্যধারাকে শেষ করে দেয় না।
এটা কি আমার সরবরাহকারীদের ক্ষেত্রেও প্রযোজ্য?
সরবরাহ শৃঙ্খল নিরাপত্তা হলো দায়িত্ব পালনের অন্যতম একটি বিষয়। দুর্বলতার একটি বড় অংশ সরবরাহকারী এবং পরিষেবা প্রদানকারীদের কাছ থেকেই উদ্ভূত হয়। নিরাপত্তা ব্যবস্থা, অবহিতকরণের দায়িত্ব এবং নিরীক্ষার অধিকার সংক্রান্ত আপনার চুক্তিগুলো পর্যালোচনা করুন।
