моят клиент пита дали попадам под NIS2 какво трябва да отговоря

Пряко попадане под NIS2 обикновено не е на дневен ред

За повечето доставчици отговорът е не: вие не подлягате директно под Закона за кибербезопасност, холандското преобразуване на NIS2. Този закон се насочва към организации в специфични сектори и над определени прагове на размер — енергетика, транспорт, цифрова инфраструктура, здравеопазване и редица други. Ако не подлягате там, тогава "не" е фактически верен отговор на буквалния въпрос. Ако сами сте в един от тези сектори, или сте средно голямо или голямо предприятие в такава верига, тогава отговорът може да е "да" — определяте го на базата на критериите по сектор и размер, а не на базата на това, което пита вашия клиент.

Това, което вашият клиент практически ище, не е толкова вашия юридически статус, а дали вие като звено в неговата верига представлявате риск. Поради това този въпрос често се появява заедно с въпроси относно десетте мерки от член 21, параграф 2: политика за достъп, реагиране на инциденти, непрекъснатост, управление на уязвимостите. Дори ако вие сами попадате извън обхвата на закона, вашият клиент може да наложи тези изисквания при вас чрез договора — това е тогава договорно изискване, а не законова задача за вас. Проверете в този случай дали предприятието само попада ли под директивата NIS2 независимо от това, което пита вашия клиент, и отговорете освен това на основния въпрос дали изисквания за сигурност спрямо собствените доставчици са установени — често това е действителният въпрос, който стои зад всичко.

Основание: критерии за сектор и мащаб на Директивата

Приложното поле следва от приложенията към Директива (EU) 2022/2555, които за всеки сектор посочват кои субекти попадат под категориите "съществени" или "важни", комбинирано с прагове за мащаба от член 2. Холандския Закон за кибербезопасност прилага това един към един и влиза в сила на 15 август 2026 г.; до тогава няма национална правна основа да не попадате под закона като неопределен сектор. При съмнение относно собствената класификация на сектора текстът на самата Директива е първоначалният источник, от който трябва да се консултирате, а не въпросникът на клиента.