Попада ли самото предприятие под Директива NIS2 или нейното национално преобразуване?

Сектор и размер заедно определят резултата

Дали предприятието попада под Закона за кибербезопасност, зависи от два фактора: сектора, в който действа, и неговия размер. Законът работи със списък на секторите — включително енергетика, транспорт, питейна вода, цифрова инфраструктура, здравеопазване и редица индустриални и цифрови услуги — и в тези сектори има класификация по размер: средни или по-големи предприятия като правило се считат, като се използва брой служители и годишен оборот или общо активи като критерий. Ако предприятието е извън определените сектори, Законът за кибербезопасност обикновено не се прилага, независимо от размера.

Има два аспекта, които често се объркват. Първият е: попада ли предприятието директно под него, като така наречена съществена или важна организация. Вторият е: попада ли то индиректно под него, защото клиент, който сам е обхванат от закона, налага изисквания в цепа на доставки. Последното може да важи и за предприятия, които са твърде малки или се намират в не-определен сектор. Този поисък се отнася до първия аспект — преките задължения — и отговорът на него все още не е определен, докато окончателният текст и свързаният списък на секторите не бъдат проверени спрямо наименованието и данните на собственото предприятие. Кой вече е дал сигурен отговор на този въпрос — с или без преки задължения — в практиката често срещта същите въпроси, когато клиент попита, например дали има политика за анализ на риска и защита на информационните системи или или многофакторната аутентификация е установена.

Откъде се вижда това: критериите за сектор и размер

Тази класификация произлиза от Закона за кибербезопасност, холандското прилагане на NIS2, което влиза в сила на 15 август 2026 г. Самият закон, с приложенията, в които са посочени секторите и праговете на размера, е определеният източник, срещу който да се съпоставля собственото предприятие; този текст е на wetten.overheid.nl.