Můj zákazník se ptá, zda spadám pod NIS2, jak mám odpovědět

Přímé podléhání NIS2 je obvykle mimo hru

Pro většinu dodavatelů je odpověď ne: sami nepodléháte Zákonu o kybernetické bezpečnosti, nederlandskému přepisu NIS2. Tento zákon se zaměřuje na organizace v určitých odvětvích a nad určitými prahu velikosti — energetika, doprava, digitální infrastruktura, zdravotnictví a několik dalších. Pokud pod ně nespadáte, pak je "ne" fakticky správná odpověď na doslova položenou otázku. Pokud sami operujete v jednom z těchto odvětví nebo jste střední nebo velký podnik v takovém řetězci, pak může být odpověď "ano" — určujete si to na základě kritérií odvětví a velikosti, nikoli na základě toho, co vás váš zákazník ptá.

V praxi váš zákazník nehledá tolik vaši právní postavení, jako spíše to, zda jste jako článek v jeho řetězci rizikem. Proto se tato otázka často vyskytuje spolu s otázkami o deseti opatřeních z článku 21 odst. 2: politika přístupu, řešení incidentů, kontinuita, správa zranitelností. I když sami spadáte mimo rozsah zákona, váš zákazník vám tyto požadavky může smluvně uvalit — to je pak smluvní požadavek, ne právní povinnost pro vás. V tomto případě zkontrolujte, zda podnik sám podléhá směrnici NIS2 nezávisle na tom, co vás váš zákazník ptá, a odpovězte navíc na základní otázku, zda bezpečnostní požadavky na vlastní dodavatele jsou zakotveny — často se jedná o otázku, která se ve skutečnosti skrývá.

Právní základ: kritéria odvětví a velikosti směrnice

Rozsah vyplývá z příloh Směrnice (EU) 2022/2555, která na jednotlivé sektory uvádí, které subjekty spadají pod "podstatné" nebo "důležité", v kombinaci s prahy velikosti z článku 2. Nizozemský Zákon o kybernetické bezpečnosti toto implementuje jeden k jednom a vstupuje v platnost 15. srpna 2026; do té doby neexistuje žádný národní právní důvod, aby subjekt nedesignovaného sektoru spadal pod zákon. Pokud si nejste jisti vlastním zařazením do sektoru, text samotné směrnice je prvním zdrojem, kterým se řídíte, nikoli seznam otázek vašeho zákazníka.