asiakkaani kysyy, kuuluimmeko NIS2:n piiriin, mitä minun pitää täyttää

Yleensä kirjoitat "ei" tai "ei suoraan", ellei ole sinulla itse ole nimetyn sektorin toimija

Useimmat alihankkijat eivät ole itse NIS2:n piirissä — he kokevat direktiivin välillisesti, koska heidän asiakkaansa (joka on NIS2:n piirissä) asettaa vaatimuksia sopimuksen kautta. Jos yrityksesi ei ole yhdessä nimetyistä sektoreista (energia, liikenne, digitaalinen infrastruktuuri, terveydenhuolto ja joukko muita, jotka on lueteltu direktiivin liitteissä I ja II) ja et ylitä direktiivin käyttämää kokoluokkaa, yleensä kirjoitat "ei" tai "ei sovellettavissa". Et ole itse ratkaisemassa epävarmuutta omasta asemastasi arvailun perusteella: kuuluuko yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalaan selvitä, miten siihen perehdyt, mukaan lukien Cyberveiligyyslaki, joka on Alankomaiden täytäntöönpano ja tulee voimaan 15. elokuuta 2026.

Usein tärkeämpää kuin kysymys "oletko NIS2:n piirissä" on kysymys, joka kätkeytää sen taakse: asiakkaasi haluaa tietää, sovellatko sinä myös direktiivin 21 artiklan 2 kohdan kymmenen toimenpidettä, vaikka et itse kuuluisit lain piiriin. Monet kyselyt muotoilevat sen löyhästi "oletko NIS2-yhteensopiva", vaikka ne tosiasiassa kysyvät riskinhallinnasta, poikkeamien vastahyökkäyksestä, jatkuvuudesta ja pääsynvalvonnasta. Vastaa siis paitsi statuskysymykseen, tarkista myös, esittääkö luettelo jatkokysymyksiä, jotka voit kattaa olemassa olevilla vastauksilla, esimerkiksi: riskianalyysiksi ja tietojärjestelmien turvaamisen politiikaksi.

Oikeusperusta: direktiivin 21 artiklan 2 kohta ja yrityksesi asema

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdassa mainitaan kymmenen toimenpidettä, jotka "oleellisen" tai "tärkeän" tahon on NIS2:n puitteissa toteutettava; kysymys siitä, onko sinulla tämä asema, määritetään saman direktiivin liitteiden I ja II sektoreihin ja Alankomaiden tapauksessa Cyberveiligyyslakiin. ISO/IEC 27001 Annex A ei ole lainmukainen lähde vaan laajalti käytetty samojen toimenpiteiden käytännön täytäntöönpano — jos olet sitä varten sertifioitu, se on asiaankuuluva todiste, ei vastaus itse statuskysymykseen.