Moja stranka vprašuje, ali spadam pod NIS2, kaj moram odgovoriti

Neposredni padec pod NIS2 običajno ni v igri

Za večino ponudnikov je odgovor ne: sami ne padete pod Zakon o kibernetski varnosti, nizozemsko implementacijo NIS2. Ta zakon se osredotoča na organizacije v določenih sektorjih in nad določenimi pragovi velikosti — energetika, promet, digitalna infrastruktura, zdravstveno varstvo in nekateri drugi. Če pod to ne padete, je »ne« faktično pravilen odgovor na dobesedno vprašanje. Če sami delujete v enem od teh sektorjev ali ste srednje veliko ali veliko podjetje v taki verigi, je lahko odgovor »ja« — to določite na podlagi sektorskih in velikostnih meril, ne na podlagi tega, kaj sprašuje vaš kupec.

Tisto, kar vaš kupec v praksi išče, ni toliko vaš pravni status, temveč ali vi kot člen v njegovi verigi predstavljate tveganje. Zato se to vprašanje pogosto pojavlja skupaj z vprašanji o desetih ukrepih iz člena 21(2): politika dostopa, odzivanje na incidente, kontinuiteta, upravljanje ranljivosti. Tudi če sami izven področja uporabe zakona, vam lahko kupec te zahteve preko pogodbe kljub temu naloži — to je potem pogodben zahtevek, ne zakonska dolžnost za vas. V tem primeru preverite, ali podjetje samo spada pod direktivo NIS2 независимо од тога што ваш купац пита, и одговорите на лежећа питања или varnostni pogoji za lastne dobavitelje so vzpostavljeni — pogosto je to vprašanje, ki se res skriva v ozadju.

Pravna podlaga: sektorska in velikostna merila Direktive

Področje uporabe izhaja iz prilog k Direktivi (EU) 2022/2555, ki za vsak sektor navedejo, katere entitete spadajo med »bistvene« ali »pomembne«, v kombinaciji s pragom velikosti iz člena 2. Nizozemski Zakon o kibernetski varnosti to preslika ena proti ena in začne veljati 15. avgusta 2026; do tega datuma ni nacionalne pravne podlage za to, da bi kot nevključeni sektor padli pod zakon. V primeru dvoma glede lastne sektorske klasifikacije je besedilo same Direktive prvi vir za posvet, ne pa vprašalnik vašega kupca.