Моят нареждач подлежи на NIS2, а аз не, какво означава това за мен

Вие сте засегнати чрез договора, не чрез закона

Вие самите не попадате под NIS2, но това не означава, че нищо не се променя. Вашият клиент, който попада под директивата, трябва сам според член 21, параграф 2 на Директива (ЕС) 2022/2555 да осигури защита в цялата верига. Това го задължава да налага изисквания на своите доставчици — тоест на вас. Не защото сте юридическо лице в смисъла на закона, а защото вашият клиент трябва да докаже собствената си отговорност, и вие сте част от това.

На практика това ще забележите като въпросник или допълнителни договорни условия, а не като законодателна задължение, което да виси директно над вас. Въпросите обикновено се отнасят до същите десет мерки, които вашият клиент трябва да предприеме: политика за риск, управление на инциденти, непрекъснатост, управление на уязвимостите, достъп и криптография. Можете да използвате същото обосноваване, което вече имате, дори ако никога не сте трябвало да го подготвяте за себе си. Ако още нямате завършени тези документи, препоръчително е първо да проверите дали съществува политика за анализ на рисковете и защита на информационните системи и дали изисквания за сигурност спрямо собствените доставчици вече са документирани някъде — защото тези два предмета се появяват в почти всеки верижен въпросник, независимо дали вие самите сте юридическо лице.

Документирано в член 21, действащо чрез договора

Задължението за защита на веригата на доставки е предвидено в член 21, параграф 2, буква d на Директива (ЕС) 2022/2555: юридическите лица трябва да предприемат мерки за защита на веригата на доставки, включително отношението с преките си доставчици. Нидерландското му прилагане следва чрез Закона за кибербезопасност, който влиза в сила на 15 август 2026 г. Докато вие самите не попадате в обхвата на този закон, действието към вас остава договорно: вашият клиент определя сам как да излага своето задължение при вас, и това може да се различава за всеки клиент.