moj klijent pita padamo li pod NIS2 što trebam ispuniti

Obično unosite "ne" ili "ne direktno", osim ako sami niste određeni sektor

Većina dobavljača ne pada sama pod NIS2 — direktivu osjećaju indirektno, jer njihov kupac (koji pada pod NIS2) nameće zahtjeve kroz ugovor. Ako vaše poduzeće nije u jednom od određenih sektora (energija, promet, digitalna infrastruktura, zdravstvena zaštita, i brojni drugi koji su navedeni u prilozima I i II direktive) i ne prelazi veličinsku kategoriju koju direktiva koristi, obično unosite "ne" ili "nije primjenjivo". Sumnju u vlastiti status ne trebate sami odlučivati na osnovi nagađanja: je li poduzeće obuhvaćeno NIS2 direktivom ili njezinom nacionalnom provedbom objasnite kako to provjeravate, uključujući Zakon o kibernetskoj sigurnosti koji čini nizozemsku transpoziciju i stupa na snagu 15. kolovoza 2026.

Važnije od pitanja "padamo li pod NIS2" često je pitanje koje se krije iza toga: vaš kupac želi znati primjenjujete li deset mjera iz članka 21 stavka 2 direktive, čak i ako sami ne padete pod zakon. Mnoge liste to formuliraju labavo kao "jeste li NIS2-sukladni", dok zapravo pitaju o politici rizika, odgovoru na incidente, kontinuitetu i kontroli pristupa. Zato ne odgovorite samo na pitanje o statusu, nego provjerite i postavljaju li lista dodatna pitanja koja već možete pokriti postojećim odgovorima, na primjer o politike za analizu rizika i zaštitu informacijskih sustava.

Osnova: članak 21 stavak 2 i status vaše tvrtke

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi deset mjera koje mora poduzeti "bitna" ili "važna" subjekt prema NIS2; pitanje je li imate taj status određuje se popisima sektora u Prilogu I i II te iste direktive i, za Nizozemsku, iz Zakona o kibernetskoj sigurnosti. ISO/IEC 27001 Annex A nije zakonski izvor već često korištena praktična primjena tih istih mjera — ako ste za nju certificirani, to je relevantna dokaza, a ne odgovor na samo pitanje statusa.