je izpolnjevanje tega vprašalnika enako kot izpolnjevanje NIS2

Ne, vprašalnik je presoja, ne zakonska obveznost

Ne, ta dva nista enaka. Vprašalnik, ki ga prideš od stranke, je instrument nabave: ta stranka želi vedeti, ali ti kot dobavitelj predstavljaš tveganje v njegovi verigi. NIS2 — v celoti Direktiva (EU) 2022/2555 — je zakonska obveznost, ki velja samo za organizacije, ki sami kot subjekt spadajo pod direktivo ali pod njeno nizozemsko implementacijo, Zakon o kibernetski varnosti. Ali to velja za tvoje podjetje, je odvisno od sektorja in obsega, in to ugotoviš neodvisno od tega, katero listo tudi prejmeš. Preveri to posebej pri vprašanju, ali podjetje samo spada pod direktivo NIS2, kajti ta odgovor ne spremeni ničesar, kar tu izpolniš.

Kar pa je res: mnoge stranke, ki same spadajo pod NIS2, svoj sistem obveznosti prevedejo na svoje dobavitelje. Člen 21, odstavek 2 direktive te subjekte obvezuje na deset kategorij ukrepov, vključno s varnostjo verige — in to je točno razlog, zakaj kot podizvajalec prejmeš vprašanja o analizi tveganja, obravnavi incidentov in kontinuiteti. Vprašalnik je torej posledica nečije druge obveznosti po NIS2, ne dokaz tvoje lastne obveznosti. Vprašalnik lahko v celoti in resničito izpolniš, ne da bi s tem postal "skladен z NIS2", in obratno: če sam spadaš pod zakon, ti izpolnjen vprašalnik ne pomaga pri tvojih lastnih obveznostih — te potekajo prek nadzora, ne prek strankinega portala.

Od kod to razliko: člen 21 proti samim vprašanjem

Člen 21, odstavek 2 Direktive (EU) 2022/2555 navaja deset ukrepov, ki jih mora sprejeti subjekt NIS2, med drugim o varnostni zahtevki do lastnih dobaviteljev in o usposabljanju v kibernetski higieni za zaposlene. Vprašalnik stranke te ukrepe prevede v konkretna vprašanja zate kot dobavljaču, vendar je zakonska norma sama v direktivi in, za Nizozemsko, v Zakonu o kibernetski varnosti — ne v portalu tvoje stranke.