Ügyfelem azt kérdezi, hogy a NIS2 hatálya alá esek-e, mit kell válaszolnom

A NIS2 alá való közvetlen tartozás általában nem merül fel

A legtöbb beszállító számára a válasz nem: nem tartozol közvetlenül a Kiberbiztonsági törvény, a NIS2 holland átültetése alá. Ez a törvény meghatározott szektorokban és az omvang-küszöbértéken felüli szervezetekre vonatkozik — energia, szállítás, digitális infrastruktúra, egészségügy és számos egyéb. Ha nem tartozol ezen szektorok közé, akkor az "nem" valós helyes válasz a szó szerinti kérdésre. Ha te magad az egyik szektorban vagy egy közepes vagy nagy vállalkozás vagy egy ilyen láncolatban, akkor a válasz lehet "igen" — ezt a szektor- és omvang-kritériumok alapján határozod meg, nem azon alapján, amit a kliens kérdez.

A gyakorlatban az, amit a kliens keres, nem annyira a te jogi státusza, hanem az, hogy te mint láncolatban szereplő kapcsolat veszélyt jelentesz-e számára. Ezért gyakran fordul elő ez a kérdés az 21. cikk 2. bekezdésből származó tíz intézkedésre vonatkozó kérdésekkel együtt: hozzáférési politika, incidenskezelés, folytonosság, sebezhetőség-kezelés. Még ha te magad kívül is eszel a törvény hatálya alatt, a kliens az érdekeket szerződésen keresztül így is ráróhatja rád — ez akkor szerződéses követelmény, nem pedig jogikötelezettség a számodra. Ebben az esetben ellenőrizd, hogy a vállalkozás maga a NIS2-irányelv hatálya alá tartozik-e a kliens kérdésétől függetlenül, és válaszolj ezen felül az alapul fekvő kérdésre, hogy a saját szállítókra vonatkozó biztonsági követelmények meg vannak-e határozva — gyakran ez az a kérdés, amely valóban mögötte van.

Alap: a Richtlijn szektor- és omvang-kritériumai

A hatály az (EU) 2022/2555 Richtlijn mellékleteiből adódik, amelyek szektoronként jelzik, mely entitások esnek az "alapvető" vagy "fontos" kategóriába, kombinálva a 2. cikk omvang-küszöbértékeivel. A Kiberbiztonsági törvény ezt egyik az egyhez átültetésben valósítja meg és 2026. augusztus 15-én lép hatályba; addig ez idő alatt nincs nemzeti jogi alap ahhoz, hogy nem kijelölt szektorként a törvény alá eshess. Kétség esetén a saját szektorszínezés tekintetében a richtlijn szövege önmagában az első forrás, amelyre hivatkoznod kell, nem a kliens kérdéskönyve.