mano užsakovas priklauso NIS2 sferai, o aš ne, ką tai man reiškia

Jūs patirsite per sutartį, o ne per įstatymą

Jūs patys nepatenkat į NIS2, bet tai nereiškia, kad nieko nepasikeis. Jūsų klientas, kuris iš tiesų patenka į direktyvą, pagal Direktyvos (ES) 2022/2555 21 straipsnio 2 dalį turi pats užtikrinti saugumą visoje tiekimo grandinėje. Tai jį įpareigoja kelti reikalavimus savo tiekėjams — taigi jums. Ne todėl, kad jūs esate subjektas įstatymo prasme, bet todėl, kad jūsų klientas turi parodyti savo pačio atsakomybę, o jūs tame dalyvaujate.

Praktikoje jūs tai pamatysite kaip klausimyno formą arba kaip papildomas sutarties sąlygas, o ne kaip tiesinę teisinę pareigą, kuri tiesiogiai apie jus. Klausimai dažniausiai yra apie tuos pačius dešimt priemonių, kurias turi taikyti jūsų klientas: rizikos politika, incidentų valdymas, tęstinumas, pažeidžiamumų valdymas, prieiga ir kriptografija. Galite naudoti tą pačią dokumentaciją, kurią jau turite, net jei jūs patys jos niekada neturėjote sudaryti. Jei jūs dar neturite jų išsamiai, rekomenduojama pirmiausia patikrinti, ar yra rizikos analizės ir informacinių sistemų saugumo politika ir ar saugumo reikalavimus savoms tiekėjams jau kažkur užfiksuota — nes šios dvi sritys pasirodo beveik kiekviename tiekimo grandinės klausimyne, neatsižvelgiant į tai, ar patys jūs esate subjektas.

Užfiksuota 21 straipsnyje, veikiant per sutartį

Tiekimo grandinės saugumo pareiga nurodyta Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje, d punkte: subjektai turi imtis priemonių tiekimo grandinės saugumui, įskaitant santykius su tiesiogiais tiekėjais. Šios direktyvos transponavimas į Nyderlandus bus atliktas per Kibernetinio saugumo įstatymą, kuris įsigalios 2026 m. rugpjūčio 15 d. Kol jūs patys nepatenkat į to įstatymo taikymo sritį, jūsų atžvilgiu šios pareigos taikymas lieka sutartinis: jūsų klientas pats nusprendžia, kaip jus paprašo jį įvykdyti, ir tai gali skirtis priklausomai nuo kliento.