compilare questo questionario equivale a conformarsi a NIS2

No, il questionario è una valutazione, non un obbligo legale

No, questi due non sono la stessa cosa. Il questionario che ricevi da un cliente è uno strumento di approvvigionamento: quel cliente vuole sapere se tu come fornitore rappresenti un rischio nella sua catena. NIS2 — per esteso Direttiva (UE) 2022/2555 — è un obbligo legale che si applica solo alle organizzazioni che ricadono esse stesse come entità sotto la direttiva, o secondo la trasposizione olandese, la Cyberbeveiligingswet. Se ciò vale per la tua impresa dipende dal settore e dalle dimensioni, e lo determini indipendentemente da quale elenco ricevi. Verifica questo separatamente alla domanda se l'impresa stessa rientra nella direttiva NIS2, perché quella risposta non cambia nulla di quello che compili qui.

Quello che invece è corretto: molti clienti che ricadono loro stessi sotto NIS2 traducono il loro obbligo personale ai loro fornitori. L'articolo 21 paragrafo 2 della direttiva obbliga tali entità a dieci categorie di misure, tra cui la sicurezza della catena — e questo è esattamente il motivo per cui tu come fornitore ricevi domande su analisi dei rischi, gestione degli incidenti e continuità. Il questionario è quindi la conseguenza dell'obbligo NIS2 di qualcun altro, non la prova del tuo obbligo personale. Puoi compilare completamente e veridicamente l'elenco senza diventare per questo "conforme a NIS2", e viceversa: se tu stesso rientri nella legge, una lista compilata non ti aiuta nei tuoi obblighi personali — questi avvengono attraverso la supervisione, non attraverso un portale cliente.

Da dove viene quella differenza: articolo 21 rispetto alle domande stesse

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca dieci misure che un'entità NIS2 deve adottare essa stessa, tra cui requisiti di cybersicurezza da applicare ai propri fornitori e su formazione sull'igiene informatica per i dipendenti. Un questionario di un cliente traduce quelle misure in domande concrete a te come fornitore, ma la norma legale in sé si trova nella direttiva e, per i Paesi Bassi, nella Cyberbeveiligingswet — non nel portale del tuo cliente.