mi contratante está sujeto a NIS2 y yo no, ¿qué significa eso para mí

Usted es afectado a través del contrato, no a través de la ley

Usted no está bajo NIS2, pero eso no significa que nada cambie. Su cliente que sí está bajo la Directiva debe garantizar por sí mismo bajo el artículo 21 apartado 2 de la Directiva (UE) 2022/2555 la seguridad en toda la cadena. Esto le obliga a imponer requisitos a sus proveedores — es decir, a usted. No porque sea una entidad en el sentido de la ley, sino porque su cliente debe demostrar su propia responsabilidad, y usted forma parte de ella.

En la práctica, esto se manifiesta como un cuestionario o como términos contractuales adicionales, no como una obligación legal que recaiga directamente sobre usted. Las preguntas suelen referirse a las mismas diez medidas que su cliente debe tomar: política de riesgos, tratamiento de incidentes, continuidad, gestión de vulnerabilidades, acceso y criptografía. Por lo tanto, puede utilizar la misma justificación que ya tiene, incluso si nunca tuvo que elaborarla para sí mismo. Si aún no tiene estos documentos completos, se recomienda verificar si existe política para el análisis de riesgos y la seguridad de los sistemas de información y si requisitos de seguridad para proveedores propios ya están documentados en algún lugar — porque estos dos temas aparecen en prácticamente todos los cuestionarios de cadena, independientemente de si usted es o no una entidad.

Establecido en el artículo 21, que se aplica a través del contrato

La obligación de seguridad de la cadena de suministro figura en el artículo 21 apartado 2, letra d, de la Directiva (UE) 2022/2555: las entidades deben adoptar medidas para la seguridad de la cadena de suministro, incluida la relación con sus proveedores directos. La implementación en los Países Bajos se realiza a través de la Ley de Ciberseguridad, que entra en vigor el 15 de agosto de 2026. Mientras usted no esté bajo el ámbito de aplicación de esa ley, la aplicación hacia usted sigue siendo contractual: su cliente decide por sí mismo cómo ejerce su obligación ante usted, y esto puede variar según el cliente.