il mio cliente è soggetto a NIS2 mentre io no, cosa significa per me

Lei è interessato dal contratto, non dalla legge

Lei stesso non rientra nella NIS2, ma ciò non significa che nulla cambierà. Il Suo cliente che rientra nella direttiva deve provvedere autonomamente, secondo l'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555, alla sicurezza in tutta la catena di approvvigionamento. Questo lo obbliga a trasmettere i requisiti ai suoi fornitori — quindi a Lei. Non perché Lei sia un'entità secondo la legge, ma perché il Suo cliente deve dimostrare la propria responsabilità, e Lei ne è parte.

In pratica, questo si manifesta come un questionario o come condizioni contrattuali aggiuntive, non come un obbligo legale che grava direttamente su di Lei. Le domande riguardano solitamente le stesse dieci misure che il Suo cliente deve adottare: politica dei rischi, gestione degli incidenti, continuità, gestione delle vulnerabilità, accesso e crittografia. Può quindi utilizzare la stessa documentazione di supporto che già possiede, anche se non ha mai dovuto prepararla per se stesso. Se non dispone ancora completamente di questi documenti, si consiglia di verificare prima se esiste una politica per l'analisi dei rischi e la sicurezza dei sistemi informativi e se requisiti di sicurezza per i fornitori propri è già stata documentata da qualche parte — poiché questi due argomenti ricorrono in quasi ogni questionario sulla catena di approvvigionamento, indipendentemente dal fatto che Lei stesso sia un'entità.

Documentato nell'articolo 21, applicabile tramite il contratto

L'obbligo della sicurezza della catena di approvvigionamento è previsto dall'articolo 21, paragrafo 2, lettera d), della Direttiva (UE) 2022/2555: le entità devono adottare misure per la sicurezza della catena di approvvigionamento, inclusa la relazione con i loro fornitori diretti. Il recepimento olandese avviene tramite la Cyberbeveiligingswet, che entrerà in vigore il 15 agosto 2026. Finché Lei stesso non rientra nell'ambito di applicazione di tale legge, l'applicazione nei Suoi confronti rimane contrattuale: il Suo cliente decide autonomamente come richiedere a Lei il rispetto dell'obbligo, e questo può variare da un cliente all'altro.