vores kunde vil vide, om vi falder ind under NIS2, hvad udfylder jeg

At falde selv under NIS2 er et særskilt spørgsmål fra at skulle overholde det

Om din virksomhed selv er NIS2-pligtig afhænger af sektor og størrelse — ikke af om din kunde spørger om det. NIS2 arbejder med en sektorliste (bilag I og II til direktivet) og tærskelværdier for størrelse: mellemstort eller stort efter EU-definitionen. Falder du ind under dette, er du en "væsentlig" eller "vigtig enhed" og forpligtelserne i artikel 21 gælder direkte for dig, uafhængigt af hvad en kunde skriver i et spørgeskema. Falder du ikke ind under dette, kan du simpelthen udfylde det som "nej, ikke selvstændigt NIS2-pligtig" — det er ikke et undvigende svar, det er det rigtige svar hvis det faktisk er korrekt.

Hvor det ofte går galt: en leverandør som selv falder uden for omfang pålagges forpligtelserne fra artikel 21 alligevel via kontrakten, fordi sin kunde skal tage stilling til sit eget sikkerhedskrav til leverandører skal tage stilling til sit eget sikkerhedskrav til leverandører. Det er så ikke en NIS2-forpligtelse for dig, men en kontraktlig omsætning heraf. Udfyld derfor svaret på spørgsmålet som de stiller det: "falder I under NIS2" er et ja/nej om din egen status, ikke om du anvender NIS2-lignende foranstaltninger. Disse to blev ofte forvekslet uden for hinanden, og at udfylde "ja" fordi du alligevel arbejder med ISO 27001 eller certificeret erer faktisk forkert hvis du selv ikke er inden for omfang.

Nederlandsk gennemførelse sker via Cyberbeveiligingsloven

Direktivet selv (2022/2555) definerer sektorerne og størrelsestærsklen for væsentlige og vigtige enheder; den nederlandske udformning — hvem præcis der udpeges, og med hvilke tilsynstidsfrister — sker via Cyberbeveiligingsloven, som træder i kraft den 15. august 2026. Indtil da findes der ingen national udpegning som du kan basere et "ja" på; derefter dog, i det omfang din virksomhed står på den endelige liste. Så længe denne lov ikke er i kraft, er "endnu ikke relevant" eller "endnu skal afgøres" det faktisk korrekte svar, ikke "nej" — det antyder en definitiv udelukkelse som ikke findes endnu.