a kérdőív kitöltése ugyanaz, mint a NIS2 betartása

Nem, a kérdőív egy értékelés, nem jogszabályi kötelezettség

Nem, ez a kettő nem ugyanaz. Az a kérdőív, amelyet egy ügyfél tőled kapsz, beszerzési eszköz: az ügyfél azt szeretné tudni, hogy te beszállítóként kockázatot jelentesz-e az ő ellátási láncában. A NIS2 — teljes nevén az (EU) 2022/2555 irányelv — egy jogszabályi kötelezettség, amely csak azokra a szervezetekre vonatkozik, amelyek maguk az irányelv hatálya alá tartozó entitásként, vagy az Európai Unión kívüli magyar átültetésének keretében működnek, vagy a Kiberbiztonsági törvény alá tartoznak. Az, hogy a te vállalkozásodra ez vonatkozik-e, az ágazattól és a mérettől függ, és ezt függetlenül kell eldöntened attól, hogy milyen listát is kapsz. Ezt külön ellenőrizd a kérdésnek megfelelően, hogy a vállalkozás maga a NIS2-irányelv hatálya alá tartozik-e, mert ez a válasz nem változtat azon, amit itt kitöltesz.

Az viszont igaz: sok olyan ügyfél, amely maga a NIS2 hatálya alá tartozik, saját kötelezettségét fordítja le beszállítóira. Az irányelv 21. cikk (2) bekezdése ezeket az entitásokat tíz intézkedési kategóriára kötelezi, többek között az ellátási lánc biztonságára — és éppen ezért kapsz kérdéseket kockázatelemzésről, incidenskezelésről és üzletmenetességről, mint beszállító. A kérdőív tehát valaki más NIS2-kötelezettségének a következménye, nem a te saját kötelezettséged bizonyítéka. A listát teljesen és valóban kitöltheted anélkül, hogy ezzel "NIS2-kompatibilis" lennél, és fordítva: ha te magad a törvény hatálya alá tartozol, a kitöltött lista nem segít az összes saját kötelezettségedben — azok a felügyelet révén működnek, nem egy ügyfélportálon keresztül.

Honnan származik ez a különbség: 21. cikk versus maga a kérdések

Az (EU) 2022/2555 irányelv 21. cikk (2) bekezdése tíz intézkedést sorol fel, amelyeket egy NIS2-entitásnak magának kell tennie, többek között biztonsági követelmények a saját szállítókkal szemben és a a munkatársak számára szóló kiberbiztonsági képzés. Az ügyfél kérdőíve ezeket az intézkedéseket konkrét kérdésekre fordítja le számodra, mint beszállítóra, de maga a jogszabályi norma az irányelvben és Magyarország esetében a Kiberbiztonsági törvényben szerepel — nem az ügyfél portálján.