mano klientas paklausimas, ar aš patenku į NIS2 šarvą, ką turėčiau atsakyti

Tiesioginis patekimas į NIS2 dažniausiai nėra aktualus

Daugumai subrangovų atsakymas yra ne: jūs patys nepatenkat į Kibernetinio saugumo įstatymą, Nyderlandų NIS2 transponavimą. Tas įstatymas skirtas organizacijoms konkrečiuose sektoriuose ir viršijant tam tikrus dydžio slenkstis — energetika, transportas, skaitmeninė infrastruktūra, sveikatos priežiūra ir kitos. Jei jūs nepatenkate į šią kategoriją, tada "ne" yra faktiškai teisingas atsakymas į šiuos žodžius pagrįstą klausimą. Jei jūs patys esate viename iš tų sektorių arba esate vidutinio arba didelio dydžio įmonė tokioje grandinėje, tada atsakymas gali būti "taip" — tai nustatote pagal sektoriaus ir dydžio kriterijus, o ne pagal tai, ką klausia jūsų kliento.

Tai, ką jūsų kliento praktiškai domina, yra ne tiek jūsų teisinė padėtis, kiek tai, ar jūs kaip grandinės grandis jam sudarysite riziką. Todėl šis klausimas dažnai pasitaiko kartu su klausimais apie dešimt priemonių iš 21 straipsnio 2 dalies: prieigų politika, incidentų atsakas, tęstinumas, pažeidžiamumo valdymas. Net jei pats nepateksite į įstatymo taikymo sritį, jūsų klientas šiuos reikalavimus per sutartį gali jums iš viso nustatyti — tai tada yra sutartinis reikalavimas, o ne jūsums taikoma teisinė pareiga. Šiuo atveju patikrinkite, ar ar įmonė pati patenka į NIS2 direktyvos reguliavimą neatsižvelgiant į tai, ką jūsų klienatas klausia, ir papildomai atsakykite į pagrindinį klausimą, ar saugumo reikalavimus savoms tiekėjams yra nustatyti — dažnai tai yra tikrasis klausimas, kuris slypi po tuo.

Pagrindimas: sektoriaus ir masto kriterijai pagal direktyvą

Taikymo sritis nurodyta Direktyvos (ES) 2022/2555 prieduose, kurie pagal sektorius nurodo, kurie subjektai laikomi „esminiais