asiakkaamme haluaa tietää, koskeekö NIS2 meitä, mitä vastaan

NIS2:n soveltuminen sinuun on eri kysymys kuin siihen noudattaminen

Se, koskeeko sinun yritystä NIS2 suoraan, riippuu sektorista ja koosta — ei siitä, kysyykö sinun asiakas sitä. NIS2 käyttää sektoriluetteloa (direktiivin liitteet I ja II) ja kokorajoituksia: keskisuuri tai suuri EU:n määritelmän mukaan. Jos kuulut niihin, olet "olennainen" tai "tärkeä entiteetti" ja artiklan 21 velvoitteita sovelletaan sinuun suoraan, riippumatta siitä, mitä asiakas kyselylomakkeeseen kirjoittaa. Jos et kuulu niihin, voit yksinkertaisesti täyttää "ei, ei itsenäisesti NIS2-velvollinen" — se ei ole kiertävä vastaus, vaan oikea vastaus, jos se vastaa todellisuutta.

Usein tehtävä virhe: toimittaja, joka itse jää soveltamisalan ulkopuolelle, joutuu silti artiklan 21 vaatimuksiin sopimuksessa, koska hänen asiakkaansa joutuu sitä testaamaan omiin toimittajien turvallisuusvaatimuksiin vasten. Se ei ole sinulle NIS2-velvoite vaan sen sopimuksellinen siirtäminen. Täytä siis vastaus kysymykseen sellaisena kuin se esitetään: "kuulutteko NIS2:n piiriin" on kyllä/ei sinun omasta asemastasi, ei siitä, otatko käyttöön NIS2-tyyppisiä toimenpiteitä. Nämä kaksi sekoitetaan usein toisiin, ja "kyllä" vastaaminen siksi, että jo noudatat ISO 27001:tä tai olet sertifioitu, on faktisesti väärä, jos et itse kuulu soveltamisalaan.

Hollantilainen täytäntöönpano tulee Kyberturvallisuuslain kautta

Direktiivi itse (2022/2555) määrittelee sektorit ja kokorajat olennaisille ja tärkeille entiteeteille; hollantilainen täytäntöönpano — keiden tarkalleen ottaen määrätään ja millä valvontajaksoilla — tapahtuu Kyberturvallisuuslain kautta, joka astuu voimaan 15. elokuuta 2026. Siihen asti ei ole kansallista määräystä, johon "kyllä" voidaan perustaa; sen jälkeen kyllä, siltä osin kuin yrityksesi on lopullisella luettelolla. Niin kauan kuin lakia ei ole voimassa, "ei vielä soveltuva" tai "vielä määritettävä" on faktisesti oikea vastaus, ei "ei" — se viittaa määrälliseen poissulkemiseen, jota ei vielä ole olemassa.