mój klient pyta, czy podlegam NIS2, jak powinienem odpowiedzieć

Bezpośrednie objęcie NIS2 zwykle nie ma miejsca

Dla większości dostawców odpowiedź brzmi nie: nie podlegasz samodzielnie Ustawie o cyberbezpieczeństwie, holenderskiej transpozycji NIS2. Ustawa ta kieruje się do organizacji w określonych sektorach i powyżej pewnych progów wielkości — energia, transport, infrastruktura cyfrowa, opieka zdrowotna i kilka innych. Jeśli tam nie podlegasz, to "nie" jest faktycznie prawidłową odpowiedzią na literalne pytanie. Jeśli sam znajdujesz się w jednym z tych sektorów lub jesteś średnią lub dużą przedsiębiorstwem w takim łańcuchu, odpowiedź może brzmieć "tak" — to określasz na podstawie kryteriów sektora i wielkości, a nie na podstawie tego, co pyta twój klient.

To, czego w praktyce szuka twój klient, to nie tyle twój status prawny, ale czy ty jako ogniwo w jego łańcuchu stanowisz ryzyko. Dlatego to pytanie często pojawia się razem z pytaniami dotyczącymi dziesięciu środków z art. 21 ust. 2: polityka dostępu, reagowanie na incydenty, ciągłość, zarządzanie lukami w zabezpieczeniach. Nawet jeśli sam wykraczasz poza zakres ustawy, twój klient może nakładać te wymogi na ciebie za pośrednictwem umowy — jest to wówczas wymóg umowny, a nie obowiązek ustawowy dla ciebie. W takim przypadku sprawdź czy przedsiębiorstwo samo podlega dyrektywie NIS2 niezależnie od tego, co pyta twój klient, i odpowiedz dodatkowo na pytanie bazowe czy wymagania dotyczące bezpieczeństwa własnych dostawców są określone — często jest to pytanie, które naprawdę się za tym kryje.

Podstawa: kryteria sektorowe i kryteria dotyczące zakresu Dyrektywy

Zakres wynika z załączników do Dyrektywy (UE) 2022/2555, która dla każdego sektora wskazuje, które podmioty podlegają kategorii "istotne" lub "ważne", w połączeniu z progami rozmiaru określonymi w artykule 2. Holenderska Cybersecurity Act implementuje to jeden do jednego i wchodzi w życie 15 sierpnia 2026 r.; do tego czasu nie ma krajowej podstawy prawnej, aby jako niedesygnowany sektor znaleźć się poza zakresem ustawy. W przypadku wątpliwości dotyczących własnej klasyfikacji sektorowej tekst samej Dyrektywy jest pierwszym źródłem do konsultacji, a nie kwestionariusz klienta.