naš klijent želi znati padamo li pod NIS2, što popunim

Biti sam obuhvaćen NIS2-om je drugačko pitanje od moranja udovoljiti mu

Jesu li tvoj poslovni subjekt sam pod NIS2 obvezom ovisi o sektoru i veličini — ne o tome traži li to tvoj kupac. NIS2 funkcionira s popisom sektora (prilozi I i II Direktive) i pragovima veličine: srednje groot ili veliki prema definiciji EU-a. Ako si obuhvaćen, onda si "bitna" ili "važna ustanova" i obveze iz članka 21 primjenjuju se izravno na tebe, neovisno o tome što kupac napiše u upitnom listu. Ako nisi obuhvaćen, možeš jednostavno popuniti "ne, nisam sam pod NIS2 obvezom" — to nije izbjegavajući odgovor, to je ispravan odgovor ako je faktički točan.

Gdje se često griješi: dobavljač koji sam nije obuhvaćen, dobiva ipak obveze iz članka 21 preko ugovora, jer to njegov kupac nameće svojoj zahtjevi bezbednosti za dobavljače mora provjeriti. To tada nije NIS2-obveza za vas, već ugovorna prenosivost toga. Ispunite odgovor na pitanje kako ga oni formuliraju: "padajete li pod NIS2" je da/ne o vašem vlastitom statusu, ne o tome primjenjujete li mjere slične NIS2-u. Ta dva se često međusobno miješaju, i ispunjavanje "da" zato što već radite na ISO 27001 ili certificirani ste, je faktički netočno ako sam ne spadaš u opseg.

Nizozemski propis slijedi preko Zakona o kibernetskoj sigurnosti

Sama Direktiva (2022/2555) definira sektore i prag veličine za bitne i važne entitete; nizozemska primjena — koji se točno subjekti određuju i s kojima rokovima nadzora — provodi se preko Zakona o kibernetskoj sigurnosti, koji stupa na snagu 15. kolovoza 2026. Do tada nema domaće određbe na koju možeš bazirati "da"; nakon toga, ima je, u mjeri u kojoj tvoje poduzeće stoji na konačnoj listi. Dok taj zakon nije na snazi, "još se ne primjenjuje" ili "još se trebalo odrediti" je faktički ispravan odgovor, ne "ne" — to sugerira definitivno isključenje koje sada ne postoji.