min kund frågar om jag omfattas av NIS2 vad ska jag svara

Direkt omfattning av NIS2 är sällan relevant

För de flesta underleverantörer är svaret nej: du omfattas inte själv av Cybersäkerhetslagen, den nederländska implementeringen av NIS2. Den lagen riktar sig till organisationer i specifika sektorer och över vissa storlekströsklar — energi, transport, digital infrastruktur, hälsovård och ett antal andra. Omfattas du inte av det, är "nej" ett faktiskt korrekt svar på den bokstavliga frågan. Ligger du själv i någon av dessa sektorer, eller är du ett medelstort eller stort företag i en sådan kedja, kan svaret vara "ja" — det bestäms av sektor- och storlekskriterierna, inte av vad din kund frågar.

Det som din kund i praktiken söker efter är inte så mycket din juridiska status, utan om du som en länk i hans kedja utgör en risk. Därför kommer denna fråga ofta tillsammans med frågor om de tio åtgärderna i artikel 21 punkten 2: åtkomstpolicy, incidenthantering, kontinuitet, sårbarhetshantering. Även om du själv faller utanför lagens tillämpningsområde kan din kund ändå lägga dessa krav på dig via avtalet — det är då ett avtalsvillkor, ingen laglig skyldighet för dig. Kontrollera i så fall om företaget själv omfattas av NIS2-direktivet oberoende av vad din kund frågar, och besvara dessutom den underliggande frågan om säkerhetskrav på egna leverantörer har fastställts — ofta är det den fråga som verkligen ligger bakom.

Rättslig grund: sektor- och storlekskriterier från direktivet

Tillämpningsområdet följer av bilagorna till Europaparlamentets och rådets direktiv (EU) 2022/2555, som anger per sektor vilka enheter som omfattas av "väsentlig" eller "viktig", kombinerat med storlekströsklarna i artikel 2. Cybersäkerhetslagen implementerar detta ordagrant och träder i kraft den 15 augusti 2026; fram till dess finns det ingen nationell rättslig grund för att som icke-utsedd sektor omfattas av lagen. Vid osäkerhet om egen sektorklassificering är direktivtexten själv den första källan att konsultera, inte kundens frågelista.