Môj zákazník sa pýta, či padom pod NIS2, čo mám odpovedať

Priamy vznik podľa NIS2 zvyčajne nie je relevantný

Pre väčšinu dodávateľov je odpoveď nie: sám nepadáš pod Zákon o kybernetickej bezpečnosti, holandskú implementáciu NIS2. Tento zákon sa zameriava na organizácie v špecifických sektoroch a nad určitými prahmi veľkosti — energetika, doprava, digitálna infraštruktúra, zdravotníctvo a niektoré ďalšie. Ak tam nepadáš, potom je "nie" fakticky správna odpoveď na doslovnú otázku. Ak sám patríš do jedného z týchto sektorov alebo si stredný alebo veľký podnik v takejto reťazi, odpoveď môže byť "áno" — to určuješ na základe kritérií sektora a veľkosti, nie na základe toho, čo sa pýta tvoj zákazník.

To, čo tvoj zákazník v praxi hľadá, nie je až tak tvoj právny status, ale či ty ako článok v jeho reťazi predstavuješ riziko. Preto sa táto otázka často vyskytuje spolu s otázkami o desiatich opatreniach z článku 21 odsek 2: politika prístupu, reagovanie na incidenty, kontinuita, riadenie zraniteľností. Aj keď sám padáš mimo rozsah pôsobnosti zákona, tvoj zákazník tieto požiadavky môže cez zmluvu na teba preniesť — v tom prípade ide o zmluvnú požiadavku, nie o právnu povinnosť pre teba. V tom prípade skontroluj, či či podnik sám podlieha smernici NIS2 nezávisle od toho, čo sa pýta tvoj zákazník, a odpovedz na základnú otázku, či bezpečnostné požiadavky na vlastných leverancielov boli stanovené — často je to otázka, ktorá je skutočne podstatná.

Právny základ: kritéria sektora a veľkosti smernice

Rozsah pôsobnosti vychádza z príloh k Smernici (EÚ) 2022/2555, ktorá uvádza na sektore, ktoré subjekty spadajú pod "podstatné" alebo "dôležité", kombinované s prahmi veľkosti z článku 2. Holandský Zákon o kybernetickej bezpečnosti to implementuje jeden na jeden a vstúpi do platnosti 15. augusta 2026; do tohto dátumu neexistuje národný právny základ na to, aby subjekt zo sektora bez označenia padal pod zákon. Pri pochybnostiach o vlastnej sektorovej klasifikácii je samotný text smernice prvým zdrojom, ktorý sa má konzultovať, nie zoznam otázok od zákazníka.