mój zamawiający podlega NIS2, a ja nie, co to dla mnie oznacza

Dotyczy Pana przez umowę, a nie przez prawo

Sami nie podlega Panu NIS2, ale to nie oznacza, że nic się nie zmienia. Twój klient, który rzeczywiście podlega dyrektywnie, musi sam w świetle artykułu 21 ust. 2 Dyrektywy (UE) 2022/2555 zapewnić bezpieczeństwo w całym łańcuchu dostaw. Zmusza go to do przyjęcia wymogów wobec swoich dostawców — w tym wobec Pana. Nie dlatego, że jesteś podmiotem w rozumieniu ustawy, ale dlatego, że twój klient musi wykazać swoją własną odpowiedzialność, a ty jesteś jej częścią.

W praktyce będzie Pan to obserwować jako ankietę lub jako dodatkowe warunki umowne, a nie jako obowiązek ustawowy bezpośrednio na Pana ciążący. Pytania zwykle dotyczą tych samych dziesięciu środków, które Twój klient sam musi podjąć: polityka ryzyka, obsługa incydentów, ciągłość, zarządzanie lukami w zabezpieczeniach, dostęp i kryptografia. Możesz zatem wykorzystać to samo uzasadnienie, które już masz, nawet jeśli nigdy nie musiałeś go samodzielnie opracowywać. Jeśli jeszcze nie masz kompletnych dokumentów, zaleca się najpierw sprawdzić, czy istnieje polityka analizy ryzyka i bezpieczeństwa systemów informatycznych czy też wymagania dotyczące bezpieczeństwa własnych dostawców już gdzieś zostały zarejestrowane — bo oba te tematy pojawiają się w prawie każdej ankiecie łańcucha dostaw, niezależnie od tego, czy sam jesteś podmiotem.

Ustanowione w artykule 21, działające poprzez umowę

Obowiązek bezpieczeństwa łańcucha dostaw określony jest w artykule 21 ust. 2 lit. d Dyrektywy (UE) 2022/2555: podmioty muszą podejmować środki w celu bezpieczeństwa łańcucha dostaw, w tym relacji z ich bezpośrednimi dostawcami. Wdrożenie tego w Holandii będzie następować poprzez ustawę o bezpieczeństwie cybernetycznym, która wchodzi w życie 15 sierpnia 2026 r. Dopóki Pan sam nie podlega zakresowi tej ustawy, przekazanie do Pana pozostaje umowne: Twój klient sam określa, jak realizuje swój obowiązek wobec Pana, i może się to różnić w zależności od klienta.