meu cliente pergunta se caio sob a NIS2 como devo responder

A abrangência direta pela NIS2 geralmente não se aplica

Para a maioria dos fornecedores, a resposta é não: você não se enquadra na Lei de Cibersegurança, a transposição holandesa da NIS2. Esta lei visa organizações em setores específicos e acima de determinados limites de tamanho — energia, transporte, infraestrutura digital, saúde e vários outros. Se você não se enquadrar nessas categorias, então "não" é uma resposta factualmente correta à pergunta literal. Se você próprio está em um desses setores, ou é uma empresa média ou grande nessa cadeia, então a resposta pode ser "sim" — você determina isso com base nos critérios de setor e tamanho, não com base no que seu cliente pergunta.

O que seu cliente procura na prática não é tanto seu status jurídico, mas se você como elo na cadeia dele representa um risco. Por isso, essa pergunta frequentemente aparece junto com perguntas sobre as dez medidas do artigo 21.º, n.º 2: política de acesso, resposta a incidentes, continuidade, gestão de vulnerabilidades. Mesmo que você próprio esteja fora do âmbito da lei, seu cliente pode impor esses requisitos a você via contrato — nesse caso, é uma exigência contratual, não uma obrigação legal para você. Verifique nesse caso se a empresa se enquadra sob a diretiva NIS2 independentemente do que seu cliente pergunta, e responda também à pergunta subjacente sobre se requisitos de segurança para fornecedoras próprias foram estabelecidos — frequentemente essa é a pergunta que realmente está por trás.

Fundamento: critérios de setor e tamanho da diretiva

O âmbito decorre dos anexos da Diretiva (UE) 2022/2555, que indicam por setor quais entidades se enquadram em "essencial" ou "importante", combinado com os limites de tamanho do artigo 2.º A Lei de Cibersegurança holandesa transpõe isto um a um e entra em vigor em 15 de agosto de 2026; até essa data, não há base legal nacional para setores não designados se enquadrarem na lei. Em caso de dúvida sobre a própria classificação setorial, o texto da diretiva propriamente dito é a primeira fonte a consultar, não a lista de verificação do cliente.