Kas ettevõte ise kuulub NIS2-direktiivi või selle riikliku rakendamise alla?

Sektor ja maht määravad koos tulemuse

Kas ettevõte kuulub küberturvalisuse seaduse alla, sõltub kahest asjaolust: sektorist, milles ta tegutseb, ja tema suurusest. Seadus kasutab sektorite loendit — sealhulgas energia, transport, joogivesi, digitaalne infrastruktuur, tervishoiu- ja mitmeid tööstus- ja digitaalteenuseid — ja nendes sektorites kehtib suuruse järgi liigitus: keskmise suurusega või suurem loetakse reeglina kuuluvaks, kusjuures kriteeriumiteks on töötajate arv ja aastane käive või bilansi kogusumma. Kui ettevõte jääb välja määratud sektoritest, siis küberturvalisuse seadus tavaliselt ei kehti, olenemata suurusest.

Sageli segatakse kahte aspekti. Esimene on: kas ettevõte kuulub sellele otse alla, kui nii-nimetatud oluline või tähtis subjekt. Teine on: kas see mõjutab teda kaudselt, kuna klant, kes ise seaduse alla kuulub, esitab ahelas nõudeid. Viimane võib kehtida ka ettevõtetele, mis on liiga väikesed või asuvad määramata sektoris. See otsingupäring käsitleb esimest aspekti — otsest kohustust — ja vastus sellele pole veel kindel, kuni lõplik tekst ja sellega seotud sektorite loend pole kontrollitud oma ettevõtte nime ja numbrite alusel. Kes on sellele küsimusele juba kindlalt vastanud — otsese kohustusega või ilma selleta — kohtuvad praktikas siiski sageli samade küsimustega, kui klient sellest pärib, näiteks kas on olemas risk-analüüsi ja infoturbesüsteemide kaitse poliitika või kas mitmefaktoriga autentimine on kehtestatud.

Kust see selgub: sektor- ja mahtkriteeriumid

See liigitus tuleneb küberturvalisuse seadusest, Hollandi omaksvõtust NIS2-direktiivist, mis jõustub 15. augustil 2026. Seadus ise koos lisadega, milles on sektorid ja suuruse läved, on õige allikas, et oma ettevõtet kontrollida; see tekst asub aadressil wetten.overheid.nl.