mi cliente pregunta si caemos bajo NIS2 qué debo indicar

Normalmente rellena "no" o "no directamente", a menos que usted mismo sea un sector designado

La mayoría de los proveedores no caen bajo NIS2 directamente — sienten la Directiva indirectamente, porque su cliente (que sí cae bajo NIS2) impone requisitos a través del contrato. Si su empresa no se encuentra en uno de los sectores designados (energía, transporte, infraestructura digital, sanidad, y otros que figuran en los anexos I y II de la Directiva) y no supera la clase de tamaño que utiliza la Directiva, normalmente rellena "no" o "no aplicable". No debe decidir por sí solo sobre su propia condición basándose en una conjetura: ¿Está la empresa sujeta a la Directiva NIS2 o a su transposición nacional explique cómo lo comprueba, incluida la Ley de Ciberseguridad que constituye la transposición neerlandesa y entra en vigor el 15 de agosto de 2026.

A menudo, más importante que la pregunta "¿caemos bajo NIS2" es la pregunta que se oculta detrás: su cliente quiere saber si también aplica las diez medidas del artículo 21 apartado 2 de la Directiva, incluso si usted mismo no cae bajo la ley. Muchas listas de verificación lo formulan vagamente como "¿es usted compatible con NIS2", cuando en realidad preguntan sobre política de riesgos, respuesta a incidentes, continuidad y control de acceso. Por lo tanto, no solo responda a la pregunta sobre el estado, sino que también compruebe si la lista formula preguntas de seguimiento que ya puede cubrir con respuestas existentes, por ejemplo sobre política para el análisis de riesgos y la seguridad de sistemas de información.

Fundamento: artículo 21 apartado 2 y el estado de su empresa

El artículo 21 apartado 2 de la Directiva (UE) 2022/2555 menciona las diez medidas que debe tomar una entidad "esencial" o "importante" bajo NIS2; la pregunta de si tiene ese estado se deduce de las listas de sectores en los anexos I y II de la misma Directiva y, para los Países Bajos, de la Ley de Ciberseguridad. ISO/IEC 27001 Anexo A no es una fuente legal sino una aplicación práctica frecuentemente utilizada de las mismas medidas — si está certificado para ello, es una prueba relevante, no una respuesta a la pregunta sobre el estado en sí.