minu tellijal on NIS2 regulatsiooni kohustus ja minul mitte, mida see mulle tähendab

Teid mõjutatakse lepingu kaudu, mitte seaduse kaudu

Te ei kuulu ise NIS2 alla, kuid see ei tähenda, et midagi ei muutu. Teie klient, kes kuulub direktiivi alla, peab tagama artikli 21 lõike 2 alusel Direktiivist (EL) 2022/2555 terve tarneahela turvalisuse. See kohustab teda nõudeid oma tarnijatele edastama — seega teile. Mitte sellepärast, et te olete seaduse mõttes üksus, vaid sellepärast, et teie klient peab näitama oma vastutust, ja te olete selle osa.

Praktikas märkate te seda küsimustike või täiendavate lepingu tingimuste kujul, mitte seadusest tuleneva otsese kohustusena. Küsimused käsitlevad tavaliselt samu kümmet meetmest, mida teie klient ise võtta peab: riskipoliitika, intsidendijuhtimine, järjepidevus, haavatavuste juhtimine, juurdepääs ja krüptograafia. Saate kasutada sama põhjendust, mis teil juba on, ka siis, kui te pole seda kunagi enda jaoks koostada pidanud. Kui teil pole neid dokumente veel täielikud, siis on soovitatav esmalt kontrollida, kas teil on riskianalüüsi ja infoturbesüsteemide turvalisuse poliitika ning kas turvalisuse nõudeid enda tarnijatele need on juba kuhugi dokumenteeritud — sest need kaks teemat esinevad peaaegu igas tarneahela küsimustikus, sõltumata sellest, kas te ise olete üksus.

Reguleeritud artiklis 21, töötades lepingu kaudu

Tarneahela turvalisuse kohustus on sätestatud artikli 21 lõike 2 punktis d Direktiivis (EL) 2022/2555: üksused peavad võtma meetmeid tarnimisahela turvalisuse tagamiseks, sealhulgas oma otseste tarnijate suhtluses. Selle Hollandisse ülevõtmine toimub küberneetilise turvalisuse seaduse kaudu, mis jõustub 15. augustil 2026. Kuni te ise ei kuulu selle seaduse reguleerimisalasse, jääb teie suhtlus lepinguliseks: teie klient otsustab ise, kuidas ta oma kohustust teilt välja küsib, ja see võib kliendikaupa erineda.