moj klijent pita padaš li ti pod NIS2 što trebam odgovoriti

Izravna primjena NIS2 obično nije na redu

Za većinu poddostavitelja odgovor je ne: sam ne padaš pod Zakon o kibernetskoj sigurnosti, nizozemsku provedbu NIS2. Taj zakon usmjeren je na organizacije u specifičnim sektorima i iznad određenih pragova veličine — energetika, prijevoz, digitalna infrastruktura, zdravstvena zaštita i brojni drugi. Ako ne padaš tamo, tada je "ne" faktički točan odgovor na doslovno postavljeno pitanje. Ako si sam u jednom od tih sektora ili si srednje velik ili veliki subjekt u takvom lancu, tada može odgovor biti "da" — to određuješ prema sektorskim i kriterijima veličine, ne prema onome što traži tvoj kupac.

Ono što tvoj kupac u praksi traži nije toliko tvoj pravni status, već jesu li ti kao karika u njegovom lancu rizik. Zato se ovo pitanje često pojavljuje zajedno s pitanjima o deset mjera iz članka 21 stavka 2: politika pristupa, odziv na incidente, kontinuitet, upravljanje ranjivostima. Čak i ako sam padaš izvan opsega zakona, tvoj kupac te zahtjeve može kontraktualnom odredbom ipak nametnuti — to je tada ugovorna obveza, ne zakonska obveza za tebe. U tom slučaju provjeri je li poduzeće samo po sebi obuhvaćeno NIS2-direktivom osim onoga što traži tvoj kupac, i odgovori na dodatno na temeljno pitanje je li sigurnosni zahtjevi za vlastite dobavljače su sadržani — često je to pitanje koje se zaista postavlja.

Pravna osnova: sektorski i kriteriji veličine smjernice

Opseg primjene proizlazi iz priloga Direktive (EU) 2022/2555, koji po sektoru navode koje su entitete "bitne" ili "važne", u kombinaciji s pragovima veličine iz članka 2. Nizozemski Zakon o kibernetskoj sigurnosti ovo je jedan-na-jedan proveo i stupuje na snagu 15. kolovoza 2026.; do tog datuma nema nacionalne pravne osnove da kao neimenovani sektor padneš pod zakon. Ako si nesiguran u svoju sektorsku klasifikaciju, tekst samene smjernice je prvi izvor za konzultaciju, ne popis pitanja tvoga kupca.