il mio cliente chiede se rientro in NIS2 come devo rispondere

La ricaduta diretta sotto NIS2 di solito non è in questione

Per la maggior parte dei fornitori, la risposta è no: non ricadi direttamente sotto la Legge sulla sicurezza informatica, l'attuazione nazionale olandese di NIS2. Quella legge si rivolge a organizzazioni in settori specifici e al di sopra di determinate soglie di dimensione — energia, trasporti, infrastrutture digitali, sanità e alcuni altri. Se non ricadi in quella categoria, allora "no" è una risposta fattualmente corretta alla domanda letterale. Se ricadi tu stesso in uno di questi settori, o se sei un'impresa media o grande in quella catena, allora la risposta potrebbe essere "sì" — lo determini sulla base dei criteri di settore e dimensione, non sulla base di quello che chiede il tuo cliente.

Quello che il tuo cliente sta cercando nella pratica non è tanto il tuo status giuridico, ma se tu come anello della sua catena rappresenti un rischio. Per questo motivo questa domanda spesso viene insieme a domande sui dieci provvedimenti dell'articolo 21 paragrafo 2: politica di accesso, risposta agli incidenti, continuità, gestione delle vulnerabilità. Anche se tu stesso ricadi al di fuori dell'ambito di applicazione della legge, il tuo cliente può comunque imporvi questi requisiti tramite il contratto — in quel caso si tratta di un requisito contrattuale, non di un obbligo legale per te. Verifica in quel caso se l'impresa stessa rientra nella direttiva NIS2 indipendentemente da quello che chiede il tuo cliente, e rispondi inoltre alla domanda sottostante se requisiti di sicurezza per i fornitori propri sono stati stabiliti — spesso è questa la domanda che c'è veramente dietro.

Base giuridica: criteri di settore e dimensione della direttiva

L'ambito di applicazione deriva dagli allegati della Direttiva (UE) 2022/2555, che per ogni settore indicano quali entità rientrano tra quelle "essenziali" o "importanti", combinato con le soglie di dimensione dell'articolo 2. La Legge olandese sulla sicurezza informatica attua questo uno a uno e entrerà in vigore il 15 agosto 2026; fino a quella data non c'è alcuna base giuridica nazionale per ricadere come settore non designato sotto la legge. In caso di dubbio sulla propria classificazione di settore, il testo della direttiva stessa è la prima fonte da consultare, non la lista di controllo del cliente.