mój klient pyta, czy podlegamy NIS2, co powinienem wpisać

Zwykle wpisuje się "nie" lub "nie bezpośrednio", chyba że Pani/Pan sam należy do wyznaczonego sektora

Większość dostawców nie podlega bezpośrednio NIS2 — odczuwają dyrektywę pośrednio, ponieważ ich klient (który podlega NIS2) narzuca wymagania poprzez umowę. Jeśli Pani/Pan przedsiębiorstwo nie znajduje się w jednym z wyznaczonych sektorów (energia, transport, infrastruktura cyfrowa, ochrona zdrowia i kilka innych wymienionych w załączniku I i II dyrektywy) i nie przekracza klasy wielkości, którą stosuje dyrektywa, wpisuje się zwykle "nie" lub "nie dotyczy". Wątpliwości dotyczące własnego statusu nie powinny być rozstrzygane samodzielnie na podstawie domysłów: czy przedsiębiorstwo samo podlega dyrektywie NIS2 lub jej krajowemu wdrożeniu wyjaśnić, jak się to weryfikuje, w tym Ustawę o cyberbezpieczeństwie, która stanowi implementację prawa polskiego i wchodzi w życie 15 sierpnia 2026 roku.

Ważniejsza niż kwestia "czy podlegamy NIS2" jest często pytanie ukryte za nią: Pani/Pan klient chce wiedzieć, czy również Pani/Pan stosuje dziesięć środków z artykułu 21 ust. 2 dyrektywy, nawet jeśli sam nie podlegają Pani/Pan ustawie. Wiele kwestionariuszy formułuje to luźno jako "czy jesteście zgodne z NIS2", podczas gdy faktycznie pytają o politykę ryzyka, reagowanie na incydenty, ciągłość i kontrolę dostępu. Odpowiadajcie zatem nie tylko na pytanie o status, ale również sprawdzajcie, czy lista zawiera pytania uzupełniające, na które możecie już odpowiedzieć istniejącymi odpowiedziami, na przykład na temat polityki analizy ryzyka i bezpieczeństwa systemów informatycznych.

Podstawa: artykuł 21 ust. 2 i status Pani/Pana przedsiębiorstwa

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia dziesięć środków, które podmiot "istotny" lub "ważny" w ramach NIS2 musi podjąć; kwestia posiadania tego statusu wynika z list sektorów w załączniku I i II tej samej dyrektywy oraz, dla Polski, z Ustawy o cyberbezpieczeństwie. ISO/IEC 27001 Annex A nie jest źródłem prawnym, lecz powszechnie stosowaną praktyczną implementacją tych samych środków — jeśli posiadacie certyfikat dla tego systemu, jest to istotny dowód, nie zaś odpowiedź na samą kwestię statusu.