моят клиент пита дали подлягаме на NIS2, какво трябва да попълня

Обикновено попълвате "не" или "не пряко", освен ако вие сами не сте определена категория

Повечето доставчици не попадат сами под NIS2 — те усещат директивата косвено, защото техният клиент (който вече попада под NIS2) налага изисквания чрез договора. Ако вашето предприятие не е в една от определените категории (енергия, транспорт, цифрова инфраструктура, здравеопазване и няколко други, които са в приложения I и II на директивата) и не превишава класа размер, който директивата използва, обикновено попълвате "не" или "не е приложимо". Съмненията относно вашия собствен статус не трябва да решавате сами на базата на предположение: е ли предприятието само под NIS2-директивата или национално прилагане на нея обяснете как проверявате това, включително Законът за кибербезопасност, който е холандската трансформация и влиза в сила на 15 август 2026 г.

По-важно от въпроса "попадаме ли под NIS2" често е въпросът, който стои зад него: вашият клиент иска да знае дали прилагате и десетте мерки от член 21, параграф 2 на директивата, дори ако вие сами не попадате под закона. Много анкети формулират това свободно като "сте ли в съответствие с NIS2", докато всъщност питат за политика на риск, реагиране на инциденти, приемственост и контрол на достъпа. Затова не отговаряйте само на въпроса за статуса, но проверете и дали списъкът съдържа последващи въпроси, на които вече можете да отговорите с налични отговори, например относно политиката за анализ на риска и защита на информационните системи.

Правна основа: член 21, параграф 2 и статусът на вашето предприятие

Член 21, параграф 2 от Директива (EU) 2022/2555 изброява десетте мерки, които трябва да предприеме "съществена" или "важна" организация под NIS2; въпросът дали имате този статус, произтича от списъците на категориите в приложения I и II на същата директива и, за Холандия, от Закона за кибербезопасност. ISO/IEC 27001 Annex A не е правна база, а широко използвана практическа реализация на същите мерки — ако сте сертифицирани за това, това е съответното доказателство, а не отговор на самия въпрос за статуса.