můj zákazník se ptá, zda spadáme pod NIS2, co mám vyplnit

Obvykle vypíníte "ne" nebo "nepřímo", pokud sami nejste určeným sektorem

Většina subdodavatelů sami nespadá pod NIS2 — směrnici pocítají nepřímo, protože jejich zákazník (který spadá pod NIS2) ukládá požadavky prostřednictvím smlouvy. Pokud vaše podnik není v některém z určených sektorů (energie, doprava, digitální infrastruktura, zdravotnictví a řada dalších, které jsou uvedeny v příloze I a II směrnice) a nepřekračuje třídu velikosti, kterou směrnice používá, obvykle vypíníte "ne" nebo "není použitelné". Pochybnosti o vlastním statusu byste neměli rozhodovat sami na základě odhadu: spadá podnik sám pod směrnici NIS2 nebo její národní implementaci vysvětlete, jak to ověřujete, včetně zákona o kybernetické bezpečnosti, který představuje nizozemskou implementaci a vstupuje v platnost 15. srpna 2026.

Důležitější než otázka "spadáme pod NIS2" je často otázka, která se za ní skrývá: váš zákazník chce vědět, zda také aplikujete deset opatření z článku 21 odst. 2 směrnice, i když sami nespadáte pod zákon. Mnoho dotazníků to formuluje volně jako "jste NIS2-kompatibilní", zatímco de facto se ptají na politiku řízení rizik, reakci na incidenty, kontinuitu a správu přístupu. Odpovězte tedy nejen na otázku statusu, ale také zkontrolujte, zda seznam obsahuje následné otázky, které již můžete pokrýt existujícími odpověďmi, například o politiky analýzy rizik a bezpečnosti informačních systémů.

Právní základ: článek 21 odst. 2 a status vaší organizace

Článek 21 odst. 2 Směrnice (EU) 2022/2555 jmenuje deset opatření, která musí podnikat "podstatná" nebo "důležitá" entita podle NIS2; otázka, zda máte tento status, vyplývá ze sektorových seznamů v příloze I a II téže směrnice a v Nizozemsku ze zákona o kybernetické bezpečnosti. ISO/IEC 27001 Annex A není právním zdrojem, ale často používanou praktickou implementací stejných opatření — pokud jste pro něj certifikováni, je to relevantní důkaz, nikoli odpověď na samotnou otázku statusu.