min uppdragsgivare omfattas av NIS2 men jag gör det inte, vad innebär det för mig

Du påverkas genom kontraktet, inte genom lag

Du omfattas inte själv av NIS2, men det betyder inte att ingenting förändras. Din kund som omfattas av direktivet måste själv enligt artikel 21 punkt 2 i direktiv (EU) 2022/2555 säkerställa säkerhet i hela leveranskedjan. Det förpliktar honom att ställa krav på sina leverantörer — alltså på dig. Inte för att du är en enhet enligt lag, utan för att din kund måste kunna visa sitt eget ansvar, och du är en del av det.

I praktiken märker du detta som en enkät eller som tilläggande avtalsvillkor, inte som en juridisk skyldighet som direkt vilar på dig. Frågorna handlar vanligtvis om samma tio åtgärder som din kund själv måste vidta: riskpolicy, hantering av incidenter, kontinuitet, sårbarhetshantering, åtkomst och kryptografi. Du kan därför använda samma underlag som du redan har, även om du aldrig behövde ta fram det för dig själv. Om du ännu inte har de dokumenten kompletta är det lämpligt att först kontrollera om det finns policy för riskanalys och säkerhet av informationssystem och om säkerhetskrav på egna leverantörer redan fastställda någonstans — eftersom dessa två områden förekommer i praktiskt taget varje leveranskedjeenkät, oavsett om du själv är en enhet.

Fastställt i artikel 21, verkande genom kontraktet

Skyldigheten till säkerhet i leveranskedjan anges i artikel 21 punkt 2 bokstav d i direktiv (EU) 2022/2555: entiteter måste vidta åtgärder för säkerhet i leveranskedjan, inklusive relationen med sina direkta leverantörer. Den nederländska genomförandet sker genom Cyberbeveiligingswet, som träder i kraft den 15 augusti 2026. Så länge du själv inte omfattas av denna lag förblir genomförandet till dig avtalsbaserat: din kund bestämmer själv hur han ställer sitt krav på dig, och det kan variera mellan kunder.