clientul meu întreabă dacă cad sub NIS2 ce trebuie să răspund

Aplicabilitatea directă a NIS2 de obicei nu este în cauză

Pentru majoritatea furnizorilor este răspunsul nu: nu cazi singur sub Legea de securitate cibernetică, transpunerea olandeză a NIS2. Această lege se adresează organizațiilor din sectoare specifice și peste anumite praguri de mărime — energie, transport, infrastructură digitală, sănătate și o serie de altele. Dacă nu cazi sub acestea, atunci "nu" este un răspuns faptic corect la întrebarea literală. Dacă te afli singur într-o din aceste sectoare, sau ești o întreprindere mijlocie sau mare într-un asemenea lanț, atunci răspunsul poate fi "da" — tu determinați asta pe baza criteriilor de sector și mărime, nu pe baza a ceea ce întreabă clientul tău.

Ceea ce clientul tău caută în practică nu este atât statutul tău juridic, ci dacă tu ca verigă din lanțul lui constituie un risc. De aceea această întrebare apare adesea împreună cu întrebări despre cele zece măsuri din articolul 21 alineatul 2: politica de acces, răspunsul la incidente, continuitate, gestionarea vulnerabilităților. Chiar dacă cazi singur în afara sferei de aplicare a legii, clientul tău poate totuși să îți impună aceste cerințe prin contract — aceasta este atunci o cerință contractuală, nu o obligație legală pentru tine. Verifică în acel caz dacă întreprinderea în sine cade sub directiva NIS2 independent de ceea ce întreabă clientul tău, și răspunde la rândul tău la întrebarea de bază dacă cerințele de securitate pentru propriii furnizori sunt stabilite — adesea aceasta este întrebarea care stă în spatele acesteia.

Bază: criterii de sector și mărime din directivă

Sfera de aplicare rezultă din anexele Directivei (UE) 2022/2555, care indică per sector ce entități cad sub "esențiale" sau "importante", combinat cu pragurile de mărime din articolul 2. Legea olandeză de securitate cibernetică transpune aceasta unu la unu și intră în vigoare pe 15 august 2026; până la acea dată, nu există o bază juridică națională pentru a cădea în afara legii ca sector nedesemnat. În caz de îndoială cu privire la propria clasificare de sector, textul directivei în sine este prima sursă de consultat, nu lista de întrebări a clientului.