asiakkaani kysyy, kuuluuko minulla NIS2:n piiriin, mitä minun tulee vastata

NIS2:n suora soveltaminen on yleensä poissuljettu

Suurimmalle osalle alihankkijoista vastaus on ei: et ole itse Kyberturvallisuuslain, NIS2:n kansallisen täytäntöönpanon, piirissä. Laki kohdistuu organisaatioihin tietyillä sektoreilla ja tietyn suuruisen kynnyksen ylittävillä — energia, liikenne, digitaalinen infrastruktuuri, terveydenhuolto ja joukko muita. Jos et kuulu niihin, niin "ei" on faktisesti oikea vastaus kirjaimelliseen kysymykseen. Jos olet itse yhdellä näistä sektoreista tai olet keskisuuri tai suuri yritys tällaisessa ketjussa, vastaus voi olla "kyllä" — sen määrität sektori- ja suuruuskriteereiden perusteella, ei sen perusteella, mitä asiakkaasi kysyy.

Käytännössä asiakkaasi ei varsinaisesti etsi oikeudellista asemaasi, vaan sitä, muodostatko riskin hänen ketjunsa lenkkinä. Siksi tämä kysymys tulee usein yhdessä kysymysten kanssa, jotka koskevat kymmenen toimenpidettä artiklan 21 kappaleen 2 mukaisesti: pääsynvalvonta, poikkeamiin vastaaminen, jatkuvuus, haavoittuvuuksien hallinta. Vaikka olisit itse lain soveltamisalan ulkopuolella, asiakkaasi voi silti määrätä nämä vaatimukset sinulle sopimuksella — silloin kyseessä on sopimusehto, ei sinulle asetettu oikeudellinen velvoite. Tarkista tässä tapauksessa, onko yritys itse NIS2-direktiivin piirissä erillään siitä, mitä asiakkaasi kysyy, ja vastaa lisäksi taustalla olevaan kysymykseen siitä, ovatko turvallisuusvaatimukset omille toimittajille vahvistetut — usein se on kysymys, joka todella taustalla.

Perustelu: richtlijn (EU) 2022/2555 -direktiivin sektori- ja suuruuskriteerit

Soveltamisala seuraa Direktiivin (EU) 2022/2555 liitteistä, joissa määritetään sektoreittain, mitkä yhteisöt kuuluvat "oleellisiksi" tai "tärkeiksi", yhdistettynä artiklan 2 suuruuskynnysarvioihin. Alankomaiden Kyberturvallisuuslaki toteuttaa tämän yksinkertaisesti ja tulee voimaan 15. elokuuta 2026; siihen asti ei ole kansallista perusteita jäädä lain soveltamisen ulkopuolelle, ellei ole nimetty sektoria. Jos epäröit omasta sektoriluokittelustasi, direktiivin teksti itse on ensimmäinen lähde, johon kannattaa viitata, ei asiakkaasi kysymyslista.