o nosso cliente quer saber se estamos sujeitos à NIS2, o que preencho

Estar pessoalmente sujeito à NIS2 é uma questão diferente de ter de cumpri-la

Se a sua empresa está pessoalmente sujeita à NIS2 depende do setor e da dimensão — não de se um cliente o pergunta. A NIS2 funciona com uma lista de setores (anexos I e II da diretiva) e limiares de dimensão: média ou grande segundo a definição da UE. Se se enquadra nestes critérios, é uma "entidade essencial" ou "entidade importante" e as obrigações do artigo 21 aplicam-se-lhe diretamente, independentemente do que um cliente coloque num questionário. Se não se enquadra, pode simplesmente preencher "não, não sujeito pessoalmente à NIS2" — não é uma resposta evasiva, é a resposta correta se corresponder aos factos.

Onde as coisas costumam correr mal: um fornecedor que se situa fora do âmbito recebe mesmo assim as exigências do artigo 21 impostas através do contrato, porque o seu cliente tem de cumpri-las na sua própria avaliação de segurança dos fornecedores Não se trata de uma obrigação NIS2 para si, mas de uma tradução contratual da mesma. Portanto, preencha a resposta à pergunta tal como a formularam: "Estão sujeitos à NIS2" é um sim/não sobre o seu próprio estatuto, não sobre se aplica medidas de tipo NIS2. Estas duas questões são frequentemente confundidas quando não deveriam estar relacionadas, e responder "sim" porque já trabalha de acordo com a ISO 27001 ou está certificado, é factualmente incorreto se não se enquadra pessoalmente no âmbito.

A transposição holandesa segue pela Lei da Cibersegurança

A diretiva em si (2022/2555) define os setores e o limiar de dimensão para entidades essenciais e importantes; a implementação holandesa — quem é exatamente designado e com que prazos de supervisão — decorre através da Lei da Cibersegurança, que entra em vigor a 15 de agosto de 2026. Até essa data, não existe designação nacional em que possa basear um "sim"; após essa data existirá, na medida em que a sua empresa figure na lista definitiva. Enquanto a lei não estiver em vigor, "ainda não aplicável" ou "ainda a ser determinado" é a resposta factualmente correta, não "não" — isso sugere uma exclusão definitiva que ainda não existe.