mi cliente pregunta si caigo bajo la NIS2 qué debo responder

La aplicación directa de NIS2 generalmente no es relevante

Para la mayoría de proveedores, la respuesta es no: no estás sujeto directamente a la Ley de Ciberseguridad, la transposición holandesa de NIS2. Esta ley se dirige a organizaciones en sectores específicos y por encima de determinados umbrales de tamaño — energía, transporte, infraestructura digital, sanidad y varios otros. Si no entras en esa categoría, entonces "no" es una respuesta factualmente correcta a la pregunta literal. Si estás en uno de esos sectores, o eres una empresa mediana o grande en tal cadena, la respuesta puede ser "sí" — esto lo determinas basándote en los criterios de sector y tamaño, no en lo que tu cliente pregunta.

Lo que tu cliente está buscando en la práctica no es tanto tu estatus jurídico, sino si actúas como eslabón en su cadena y representas un riesgo. Por eso esta pregunta a menudo aparece junto con preguntas sobre las diez medidas del artículo 21 apartado 2: política de acceso, respuesta a incidentes, continuidad, gestión de vulnerabilidades. Aunque caigas fuera del ámbito de aplicación de la ley, tu cliente puede imponerte esos requisitos a través del contrato — eso sería entonces una obligación contractual, no una obligación legal para ti. Verifica en ese caso si la empresa misma está sujeta a la directiva NIS2 independientemente de lo que tu cliente pregunta, y responde además la pregunta subyacente de si requisitos de seguridad para proveedores propios se han establecido — a menudo esa es la pregunta que realmente está detrás.

Base jurídica: criterios de sector y tamaño de la Directiva

El ámbito de aplicación se desprende de los anexos de la Directiva (UE) 2022/2555, que especifican por sector qué entidades se consideran "esenciales" o "importantes", combinado con los umbrales de tamaño del artículo 2. La Ley holandesa de Ciberseguridad transpone esto uno a uno y entra en vigor el 15 de agosto de 2026; hasta esa fecha, no existe base jurídica nacional para que un sector no designado quede fuera de la ley. En caso de duda sobre la propia clasificación sectorial, el texto de la Directiva en sí es la primera fuente a consultar, no la lista de preguntas del cliente.