mein Kunde fragt, ob ich unter NIS2 falle, wie muss ich antworten

Direkter Geltungsbereich von NIS2 ist in den meisten Fällen nicht relevant

Für die meisten Zulieferer ist die Antwort nein: Sie unterliegen nicht selbst dem Cybersicherheitsgesetz, der niederländischen Umsetzung von NIS2. Dieses Gesetz richtet sich an Organisationen in bestimmten Branchen und oberhalb bestimmter Größenschwellen — Energie, Verkehr, digitale Infrastruktur, Gesundheitswesen und einige weitere. Fallen Sie nicht darunter, dann ist "nein" eine sachlich zutreffende Antwort auf die Wortfrage. Befinden Sie sich selbst in einer dieser Branchen oder sind Sie ein mittelständisches oder großes Unternehmen in einer solchen Lieferkette, dann kann die Antwort durchaus "ja" sein — das bestimmen Sie anhand der Branchen- und Größheitskriterien, nicht anhand dessen, was Ihr Kunde fragt.

In der Praxis sucht Ihr Kunde nicht so sehr nach Ihrem rechtlichen Status, sondern danach, ob Sie als Glied in seiner Lieferkette ein Risiko darstellen. Daher wird diese Frage oft zusammen mit Fragen zu den zehn Maßnahmen aus Artikel 21 Absatz 2 gestellt: Zugangsregelung, Reaktion auf Vorfälle, Kontinuität, Schwachstellenmanagement. Selbst wenn Sie selbst außerhalb des Geltungsbereichs des Gesetzes fallen, kann Ihr Kunde diese Anforderungen über den Vertrag dennoch bei Ihnen geltend machen — das ist dann eine vertragliche Anforderung, keine gesetzliche Pflicht für Sie. Prüfen Sie in diesem Fall, ob das Unternehmen selbst unter die NIS2-Richtlinie fällt losgelöst von dem, was Ihr Kunde fragt, und beantworten Sie darüber hinaus die zugrunde liegende Frage, ob Sicherheitsanforderungen an eigene Lieferanten festgelegt sind — oft ist das die tatsächliche Frage dahinter.

Rechtsgrundlage: Branchen- und Größheitskriterien der Richtlinie

Der Geltungsbereich folgt aus den Anhängen der Richtlinie (EU) 2022/2555, die pro Branche angeben, welche Stellen als "wesentlich" oder "wichtig" gelten, kombiniert mit den Größheitsschwellen aus Artikel 2. Das niederländische Cybersicherheitsgesetz setzt dies eins zu eins um und tritt am 15. August 2026 in Kraft; bis dahin gibt es keine nationale Rechtsgrundlage, um als nicht benannte Branche außerhalb des Gesetzes zu fallen. Im Zweifelsfall über die eigene Brancheneinteilung ist der Text der Richtlinie selbst die erste Quelle zu konsultieren, nicht die Frageliste Ihres Kunden.