clientul nostru vrea să știe dacă cade sub NIS2, ce completez

A cădea sub NIS2 este o întrebare separată de a trebui să se conformeze

Indiferent dacă întreprinderea dvs. cade sub NIS2, depinde de sector și dimensiune — nu de faptul că clientul dumneavoastră o întreabă. NIS2 funcționează cu o listă de sectoare (anexele I și II ale directivei) și praguri de dimensiune: medii sau mari conform definiției UE. Dacă vă încadrați în aceasta, atunci sunteți o "entitate esențială" sau "entitate importantă" și obligațiile articolului 21 se aplică direct pentru dvs., indiferent de ceea ce un client pune într-un chestionar. Dacă nu vă încadrați, atunci puteți pur și simplu completa "nu, nu sunteți plichtig NIS2 în mod independent" — aceasta nu este un răspuns care evită, este răspunsul corect dacă este factual adevărat.

Unde se întâmplă adesea greșeala: un furnizor care cade în afara domeniului de aplicare, primește totuși cerințele articolului 21 prin contract, deoarece clientul său trebuie să le verifice în raport cu propriile cerințe de securitate pentru furnizori sale. Aceasta nu este o obligație NIS2 pentru dvs., ci o transpunere contractuală a acesteia. Deci completați răspunsul la întrebarea așa cum o pune: "cadeți sub NIS2" este un da/nu despre propriul dvs. statut, nu despre faptul că aplicați măsuri de tipul NIS2. Aceste două sunt adesea confundate atunci când sunt separate, și a completa "da" pentru că lucraţi deja la ISO 27001 sau sunteți certificațieste factual incorect dacă nu vă încadrați în domeniu.

Transpunerea națională va urma prin Legea privind securitatea cibernetică

Directiva în sine (2022/2555) definește sectoarele și pragul de dimensiune pentru entități esențiale și importante; transpunerea națională olandeză — cine anume este desemnat și cu ce termene de supraveghere — se realizează prin Legea privind securitatea cibernetică, care intră în vigoare pe 15 august 2026. Până la acea dată, nu există o desemnare națională pe care ați putea baza un "da"; după aceea, există, în măsura în care întreprinderea dvs. figurează pe lista definitivă. Atâta timp cât acea lege nu intră în vigoare, "încă nu se aplică" sau "încă de stabilit" este răspunsul factual corect, nu "nu" — aceasta sugerează o excludere definitivă care nu există încă.