min kund frågar om vi omfattas av NIS2 vad ska jag fylla i

Vanligtvis fyller du i "nej" eller "inte direkt" om du inte själv är en utsedd sektor

De flesta underleverantörer omfattas inte själva av NIS2 — de påverkas av direktivet indirekt, eftersom deras kund (som faktiskt omfattas av NIS2) ställer krav via kontraktet. Om ditt företag inte finns i någon av de utsedda sektorerna (energi, transporter, digital infrastruktur, hälso- och sjukvård, och ett antal andra som anges i bilaga I och II till direktivet) och inte överskrider den storleksklass som direktivet använder, fyller du vanligtvis i "nej" eller "ej tillämpligt". Tvivel om din egen status bör du inte besluta själv baserat på gissningar: omfattas organisationen av NIS2-direktivet eller dess nationella genomförande redogör för hur du kontrollerar detta, inklusive Cybersäkerhetslag som är den nederländska genomförandet och träder i kraft den 15 augusti 2026.

Ofta är den viktigare frågan bakom "omfattas vi av NIS2" denna: din kund vill veta om du tillämpar de tio åtgärderna i artikel 21 stycke 2 i direktivet, även om du själv inte omfattas av lagen. Många enkäter formulerar detta löst som "är ni NIS2-kompatibla", medan de faktiskt frågar om riskpolicy, incidenthantering, kontinuitet och åtkomstkontroll. Besvar därför inte bara statusfrågan, utan kontrollera också om enkäten ställer följdfrågor som du redan kan täcka med befintliga svar, till exempel om policy för riskanalys och säkring av informationssystem.

Rättslig grund: artikel 21 stycke 2 och statusen för ditt företag

Artikel 21 stycke 2 i direktiv (EU) 2022/2555 anger de tio åtgärder som en "väsentlig" eller "viktig" enhet under NIS2 måste vidta; frågan om du har denna status följer av sektorlistorna i bilaga I och II till samma direktiv och, för Nederländerna, från Cybersäkerhetslag. ISO/IEC 27001 Annex A är inte en rättslig källa utan en vanligt använd praktisk tillämpning av samma åtgärder — om du är certifierad för denna är det relevant bevis, inte ett svar på själva statusfrågan.