Koskeeko NIS2-direktiivi tai sen kansallinen täytäntöönpano yritystä suoraan?

Sektori ja koko määräävät yhdessä tuloksen

Onko yritys Kyberturvallisuuslain soveltamisalan piirissä, riippuu kahdesta asiasta: sektorista, jolla se toimii, ja sen koosta. Laki perustuu sektoriluetteloon — muun muassa energia, kuljetus, juomavesi, digitaalinen infrastruktuuri, terveydenhuolto ja useat teollisuus- ja digitaaliset palvelut — ja näillä sektoreilla on koko-jako: keskisuuret tai suuremmat kuuluvat yleensä piiriin, kriteereinä työntekijöiden lukumäärä ja vuotuinen liikevaihto tai taseen loppusumma. Jos yritys ei kuulu määritettyihin sektoreihin, Kyberturvallisuuslakia ei yleensä sovelleta koosta riippumatta.

On kaksi seikkaa, jotka usein sekoitetaan. Ensimmäinen on: kuuluuko yritys siihen suoraan, niin sanottuina olennaisina tai tärkeänä kokonaisuuksina. Toinen on: jouttuuko se siihen välillisesti, koska asiakas, joka itse on lain piirissä, asettaa vaatimuksia ketjussa. Jälkimmäinen voi koskea myös yrityksiä, jotka ovat liian pieniä tai toimivat määrittelemättömällä sektorilla. Tämä hakukysymys koskee ensimmäistä seikkaa — suoraa velvollisuutta — ja vastaus siihen ei ole vielä lopullinen, kunnes lopullinen teksti ja vastaavat sektoriluettelot on tarkastettu omien yrityksen nimen ja lukujen perusteella. Joilla on jo varma vastaus tähän kysymykseen — suoralla tai ilman suoraa velvollisuutta — kohtaa käytännössä silti usein samat kysymykset, kun asiakas kysyy siitä, esimerkiksi onko riskianalyysin ja tietosuojavälituslain politiikka vai onko monivaiheinen tunnistautuminen muodostettu.

Mistä tämä ilmenee: sektori- ja kokokriteerit

Tämä jako johtuu Kyberturvallisuuslaista, NIS2:n Alankomaiden täytäntöönpanosta, joka tulee voimaan 15. elokuuta 2026. Laki itse, jossa ovat liitteet, joissa sektorit ja kokorajat ovat, on asianmukainen lähde omien yritysten vertailemiselle; teksti on wetten.overheid.nl-sivustolla.