můj objednávatel podléhá NIS2 a já ne, co to pro mě znamená

Jste zasaženi prostřednictvím smlouvy, ne zákona

Sami nepodléháte NIS2, ale to neznamená, že se nic nemění. Váš zákazník, který spadá pod směrnici, musí sám podle článku 21 odst. 2 Směrnice (EU) 2022/2555 zajistit bezpečnost v celém dodavatelském řetězci. To jej zavazuje klást požadavky na své dodavatele — tedy i na vás. Ne proto, že jste subjektem ve smyslu zákona, ale proto, že váš zákazník musí prokázat svou vlastní odpovědnost, a vy jste její součástí.

V praxi si to všimnete jako formuláře nebo jako dodatečné smluvní podmínky, ne jako právní povinnost, která na vás přímo doléhá. Otázky se obvykle týkají stejných deseti opatření, která musí sám přijmout váš zákazník: politika rizik, řešení incidentů, kontinuita, správa zranitelností, přístup a kryptografie. Můžete tedy použít stejné zdůvodnění, které již máte, i kdybyste je pro sebe nikdy nemuseli vypracovat. Pokud tyto dokumenty ještě nemáte kompletní, je vhodné nejdříve zkontrolovat, zda existuje politika pro analýzu rizik a bezpečnost informačních systémů a zda bezpečnostní požadavky na vlastní dodavatele jsou již někde zaznamenány — protože tato dvě témata se objevují ve skoro každém formuláři pro řetězec, bez ohledu na to, zda sami podléháte nějaké směrnici.

Stanoveno v článku 21, přenášené prostřednictvím smlouvy

Povinnost zabezpečení dodavatelského řetězce je obsažena v článku 21 odst. 2 písmeno d Směrnice (EU) 2022/2555: subjekty musí přijmout opatření na zabezpečení dodavatelského řetězce, včetně vztahu s jejich přímými dodavateli. Její implementace v Nizozemsku bude provedena prostřednictvím Zákona o kybernetické bezpečnosti, který vstoupí v platnost 15. srpna 2026. Dokud sami nepodléháte rozsahu tohoto zákona, zůstane pro vás povinnost smluvní: váš zákazník si sám určí, jak si od vás informace vyžádá, a to se může lišit od zákazníka k zákazníkovi.