mein Kunde fragt, ob wir unter NIS2 fallen, was muss ich eintragen

In der Regel füllen Sie "nein" oder "nicht direkt" aus, es sei denn, Sie gehören selbst zu einem benannten Sektor

Die meisten Zulieferer fallen nicht selbst unter NIS2 — sie spüren die Richtlinie indirekt, weil ihr Kunde (der tatsächlich unter NIS2 fällt) Anforderungen über den Vertrag weitergeben lässt. Falls Ihr Unternehmen nicht in einem der benannten Sektoren tätig ist (Energie, Verkehr, digitale Infrastruktur, Gesundheitswesen und einige weitere, die in Anlage I und II der Richtlinie aufgeführt sind) und nicht in die Größenklasse fällt, auf die sich die Richtlinie bezieht, füllen Sie in der Regel "nein" oder "nicht zutreffend" aus. Zweifel an Ihrem eigenen Status sollten Sie nicht selbst auf Basis einer Vermutung entscheiden: unterliegt das Unternehmen selbst der NIS2-Richtlinie oder deren nationale Umsetzung erläutern Sie, wie Sie das überprüfen, einschließlich des Gesetzes über Maßnahmen zur Erhöhung der Cybersicherheit (IT-Sicherheitsgesetz), das die niederländische Umsetzung darstellt und am 15. August 2026 in Kraft tritt.

Wichtiger als die Frage "unterliegen wir NIS2" ist oft die Frage, die dahinter steckt: Ihr Kunde möchte wissen, ob Sie die zehn Maßnahmen aus Artikel 21 Absatz 2 der Richtlinie auch einhalten, auch wenn Sie selbst nicht unter das Gesetz fallen. Viele Checklisten formulieren das vage als "sind Sie NIS2-konform", während sie tatsächlich nach Risikomanagement, Incident Response, Geschäftskontinuität und Zugriffskontrolle fragen. Beantworten Sie daher nicht nur die Statusfrage, sondern prüfen Sie auch, ob die Liste Anschlussfragen enthält, die Sie bereits mit vorhandenen Antworten abdecken können, etwa zu Strategie zur Risikoanalyse und zum Schutz von Informationssystemen.

Rechtsgrundlage: Artikel 21 Absatz 2 und der Status Ihres Unternehmens

Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 nennt die zehn Maßnahmen, die eine "wesentliche" oder "wichtige" Einheit unter NIS2 ergreifen muss; die Frage, ob Sie diesen Status haben, ergibt sich aus den Sektorenlisten in Anlage I und II dieser Richtlinie und, für die Niederlande, aus dem Gesetz über Maßnahmen zur Erhöhung der Cybersicherheit. ISO/IEC 27001 Annex A ist keine Rechtsquelle, sondern eine häufig verwendete praktische Umsetzung derselben Maßnahmen — wenn Sie dafür zertifiziert sind, ist das relevanter Nachweis, aber keine Antwort auf die Statusfrage selbst.