Padá samotný podnik pod směrnici NIS2 nebo její národní transpozici?

Sektor a rozsah společně určují výsledek

To, zda podnik podléhá zákonu o kybernetické bezpečnosti, závisí na dvou věcech: na sektoru, ve kterém působí, a na jeho rozsahu. Zákon pracuje se seznamem sektorů — zejména energetika, doprava, pitná voda, digitální infrastruktura, zdravotnictví a řada průmyslových a digitálních služeb — a v rámci těchto sektorů se uplatňuje dělení podle velikosti: střední nebo větší podniky se zpravidla počítají s počtem zaměstnanců a ročním obratem nebo celkovým obratem v rozvaze jako měřítko. Podléhá-li podnik mimo určené sektory, zákon o kybernetické bezpečnosti se zpravidla neuplatňuje, bez ohledu na rozsah.

Existují dvě stránky, které se často pletou. První je: podléhá podnik tomuto zákonu přímo, jako tzv. kritická nebo důležitá jednotka. Druhou je: je jím zasažen nepřímo, protože zákazník, který sám podléhá zákonu, požadavky předává v řetězci. To může platit i pro podniky, které jsou příliš malé nebo sídlí v neuvedeném sektoru. Tato vyhledávací otázka se týká první stránky — přímé povinnosti — a odpověď na ni není dosud jistá, pokud nebude ověřen konečný text a příslušný seznam sektorů podle názvu a údajů vlastního podniku. Kdo si na tuto otázku již jistě odpověděl — s přímou povinností či bez ní — se v praxi setkává se stejnými otázkami, které si pokládá zákazník, například zda existuje politika analýzy rizik a bezpečnosti informačních systémů nebo zda vícefaktorové ověřování je zaveden.

Kde se to projevuje: kritéria sektoru a rozsahu

Toto dělení vychází ze zákona o kybernetické bezpečnosti, které je nizozemskou transpozicí NIS2, která vstupuje v platnost 15. srpna 2026. Zákon samotný spolu s přílohami, které obsahují sektory a prahové hodnoty rozsahu, je určeným zdrojem pro porovnání vlastního podniku; tento text je k dispozici na adrese wetten.overheid.nl.