Unser Kunde möchte wissen, ob wir unter NIS2 fallen, was trage ich ein

Selbst unter NIS2 zu fallen ist eine andere Frage als die Einhaltung derselben

Ob dein Unternehmen selbst NIS2-verpflichtet ist, hängt von Sektor und Umfang ab — nicht davon, ob dein Kunde es fragt. NIS2 arbeitet mit einer Sektorliste (Anhänge I und II der Richtlinie) und Schwellenwerten für den Umfang: mittlere oder große Unternehmen nach der EU-Definition. Fällst du darunter, bist du eine "wesentliche" oder "wichtige Einheit" und die Verpflichtungen aus Artikel 21 gelten unmittelbar für dich, unabhängig davon, was ein Kunde in einem Fragebogen angibt. Fällst du nicht darunter, kannst du das einfach als "nein, nicht eigenständig NIS2-verpflichtet" eintragen — das ist keine ausweichende Antwort, es ist die richtige Antwort, wenn sie sachlich zutrifft.

Wo es oft schiefgeht: ein Lieferant, der selbst außerhalb des Geltungsbereichs fällt, erhält die Anforderungen aus Artikel 21 trotzdem vertraglich auferlegt, weil sein Kunde dies gegen seine eigenen Sicherheitsanforderungen an Lieferanten überprüfen muss. Das ist dann keine NIS2-Verpflichtung für dich, sondern eine vertragliche Weitergabe davon. Füll also die Antwort auf die Frage wie gestellt aus: "Fällt ihr unter NIS2" ist ein Ja/Nein zu deinem eigenen Status, nicht davon, ob du NIS2-ähnliche Maßnahmen durchführst. Diese beiden werden außerhalb voneinander oft verwechselt, und ein "ja" anzukreuzen, weil du ohnehin bereits an ISO 27001 arbeitest oder zertifiziert bist, ist sachlich falsch, wenn du selbst nicht im Geltungsbereich liegst.

Die niederländische Umsetzung erfolgt über das Cybersicherheitsgesetz

Die Richtlinie selbst (2022/2555) definiert die Sektoren und den Umfangschwellenwert für wesentliche und wichtige Einheiten; die niederländische Ausgestaltung — wer genau benannt wird und mit welchen Aufsichtsfristen — erfolgt über das Cybersicherheitsgesetz, das am 15. August 2026 in Kraft tritt. Bis zu diesem Termin gibt es keine nationale Benennung, auf die du dich auf "ja" berufen kannst; danach sehr wohl, soweit dein Unternehmen auf der endgültigen Liste steht. Solange dieses Gesetz nicht in Kraft ist, ist "noch nicht anwendbar" oder "noch zu bestimmen" die sachlich richtige Antwort, nicht "nein" — das deutet auf einen endgültigen Ausschluss hin, der jetzt noch nicht besteht.