il mio cliente chiede se rientriamo nella NIS2 cosa devo compilare

Di solito inserite "no" o "non direttamente", a meno che non siate voi stessi un settore designato

La maggior parte dei fornitori non ricade direttamente sotto NIS2 — sentono la direttiva indirettamente, perché il loro cliente (che sì ricade sotto NIS2) impone requisiti attraverso il contratto. Se la vostra azienda non si trova in uno dei settori designati (energia, trasporti, infrastrutture digitali, sanità e altri elencati negli allegati I e II della direttiva) e non supera la classe di dimensioni utilizzata dalla direttiva, di solito inserite "no" o "non applicabile". Non dovete decidere da soli in base a una supposizione se siete in dubbio sulla vostra situazione: l'azienda è soggetta alla direttiva NIS2 o alla relativa attuazione nazionale indicate come verificate ciò, inclusa la Legge sulla cibersicurezza che costituisce l'attuazione olandese e che entra in vigore il 15 agosto 2026.

Più importante della domanda "ricadiamo sotto NIS2" è spesso la domanda nascosta dietro: il vostro cliente vuole sapere se applicate anche le dieci misure dell'articolo 21 paragrafo 2 della direttiva, anche se voi stessi non siete soggetti alla legge. Molti questionari formulano questo vagamente come "siete conformi a NIS2", mentre in realtà chiedono di politiche di rischio, risposta agli incidenti, continuità e controllo dell'accesso. Quindi non rispondete solo alla domanda di stato, ma controllate anche se il questionario contiene domande di follow-up che potete già coprire con risposte esistenti, ad esempio su politica per l'analisi dei rischi e la sicurezza dei sistemi informativi.

Fondamento: articolo 21 paragrafo 2 e lo stato della vostra azienda

L'articolo 21 paragrafo 2 della Direttiva (UE) 2022/2555 elenca le dieci misure che un'entità "essenziale" o "importante" sotto NIS2 deve adottare; la questione se abbiate tale stato deriva dagli elenchi dei settori negli allegati I e II della stessa direttiva e, per i Paesi Bassi, dalla Legge sulla cibersicurezza. ISO/IEC 27001 Annex A non è una fonte legale ma un'applicazione pratica di uso comune delle stesse misure — se siete certificati per questa, è una prova rilevante, non una risposta alla questione di stato stesso.