náš zákazník podléhá NIS2 a nyní nám klade požadavky, co to znamená

Váš zákazník vám předává deset opatření z článku 21

To znamená, že se staňte součástí přístupu do řetězce, který vyžaduje článek 21 odstavec 2 NIS2. Entita, která podléhá NIS2, musí sama podniknout "bezpečnostní opatření v dodavatelském řetězci" — písmeno (d) tohoto odstavce — a to váš zákazník dělá tím, že požadavky, které si klade sám, vám také předkládá. Touto kontrolou se sami stáváte NIS2-povinní; dostáváte důsledek povinnosti vašeho zákazníka. Zda sami spadáte pod směrnici, je samostatná otázka — kterou zodpovídáte samostatně, například s vysvětlením ohledně zda podnik sám spadá pod směrnici NIS2.

V praxi se kontrola převádí článek 21 odstavec 2 do jednotlivých otázek: provádíte analýzu rizik a máte zásady pro bezpečnost informací, jak nakládáte s incidenty, jak vypadá zálohování a obnova, jak spravujete přístup a používáte vícefaktorovou autentizaci, a — určení, které váš zákazník právě na vás uplatňuje — také vy sami stanovujete požadavky na své dodavatele. Pro každý z těchto bodů existuje samostatné vysvětlení v databází znalostí, jako je zásady pro analýzu rizik a bezpečnost informačních systémů a požadavky na bezpečnost vlastních dodavatelů. Pokud již máte certifikát ISO 27001, pokrývá to velkou část těchto otázek najednou.

Kde se to v směrnici nachází: článek 21 odstavec 2

Článek 21 odstavec 2 Směrnice (EU) 2022/2555 jmenuje deset opatření doslova, od zásad pro analýzu rizik (a) přes bezpečnost při nákupu produktů a služeb a vztah dodavatelů (d) až po správu přístupu a vícefaktorovou autentizaci (j). Nizozemský zákon o kybernetické bezpečnosti transponuje tuto směrnici do národního práva a vstupuje v platnost 15. srpna 2026; do té doby si váš zákazník již může svou vlastní přípravu na vás přenést, i bez toho, aby zákon již platil. Kdo rozpozná deset opatření jako samostatné kontroly Přílohy A z ISO/IEC 27001, může mnoho odpovědí převzít přímo ze stávajícího ISMS.