meie klient tahab teada, kas me NIS2 alla kuulume, mida ma sisestan

Ise NIS2 alla kuulumiseks on eraldi küsimus kui sellele vastamise kohustusele

Kas teie ettevõte ise on NIS2 kohustuse all, sõltub sektorist ja suurusest — mitte sellest, kas teie klient seda küsib. NIS2 töötab sektoriloendiga (direktiivi lisad I ja II) ja suuruse lävepakuga: keskmise suurusega või suur vastavalt EL määratlusele. Kui te jäate selle alla, olete te "oluline" või "oluline üksus" ja artikli 21 kohustused kehtivad teile otseselt, olenemata sellest, mida klient küsimustikus kirjutab. Kui te ei jää selle alla, võite te selle lihtsalt täita kui "ei, mitte ise NIS2 kohustuse all" — see pole väimuline vastus, vaid õige vastus, kui faktiliselt vastab tõele.

Kus sageli läheb valesti: tarnija, kes ise jäädab väljaspool, saab artikli 21 nõuded siiski peale lepinguliselt, sest tema klient peab seda oma turvalisuse nõuetesse tarnijate suhtes kontrollima. See pole siis sulle NIS2 kohustus, vaid selle lepinguliselt edasi antud tõlgendus. Täida siis vastus küsimusele nii nagu see esitatakse: "kas te kuulute NIS2 alla" on jah/ei teie enda staatuse kohta, mitte sellest, kas te rakendaudate NIS2-taolisi meetmeid. Need kaks segamini ajada on tavaline, ja "jah" sisestamine, sest te juba ISO 27001 järgi töötate või sertifitseeritud olete, on faktiliselt vale, kui te ise ei ole ulatuse piires.

Hollandi rakendamine toimub küberjulgeoleku seaduse kaudu

Direktiiv ise (2022/2555) määratleb sektoreid ja olulist ja olulist üksuste suuruse lävepakku; Hollandi rakendus — kes täpselt määratakse ja milliste järelevalvetähtaegadega — toimub küberjulgeoleku seaduse kaudu, mis jõustub 15. augustil 2026. Kuni selleks hetkeks ei ole rahvuslikku määramist, millele te "jah" baseerida saaksite; pärast seda aga, kuivõrd teie ettevõte lõpplikule loendile jääb. Kuni see seadus ei jõustu, on "veel rakendamata pole" või "veel määrata tuleb" faktiliselt õige vastus, mitte "ei" — see viitab lõplikule välistamisele, mis praegu veel puudub.