nasz klient chce wiedzieć, czy podlegamy NIS2, co wypełniam

Samo wpadanie pod NIS2 to inne pytanie niż spełnianie jego wymogów

To, czy Twoja firma sama podlega NIS2, zależy od sektora i skali — nie od tego, czy klient to pyta. NIS2 działa na podstawie listy sektorów (załączniki I i II dyrektywy) i progów skali: średnia lub duża według definicji UE. Jeśli się pod to podpowiadasz, jesteś "podmiotu istotnym" lub "ważnym podmiotem" i obowiązki z artykułu 21 dotyczą ciebie bezpośrednio, niezależnie od tego, co klient wpisze w kwestionariusz. Jeśli się nie podpowiadasz, możesz po prostu wpisać "nie, nie podlegam NIS2 samodzielnie" — to nie jest odpowiedź wymijająca, to jest prawidłowa odpowiedź, jeśli faktycznie tak jest.

Gdzie często się myli: dostawca, który sam nie wchodzi w zakres, dostaje wymagania z artykułu 21 nałożone mu umową, bo jego klient musi to skorelować z własnymi wymogami bezpieczeństwa wobec dostawców To wtedy nie jest dla ciebie obowiązek NIS2, ale umowne przeniesienie go. Więc wypełnij odpowiedź na pytanie tak, jak je sformułował: "czy podlegacie NIS2" to tak/nie na twój własny status, nie na to, czy stosuje się miary zbliżone do NIS2. Te dwie rzeczy często się mylą, a wpisanie "tak" dlatego, że już pracujecie nad ISO 27001 lub posiadacie certyfikat, jest faktycznie błędem, jeśli sam nie wchodzisz w zakres.

Implementacja holenderska następuje przez Ustawę o cyberbezpieczeństwie

Sama dyrektywa (2022/2555) definiuje sektory i próg skali dla podmiotów istotnych i ważnych; implementacja holenderska — kto dokładnie zostanie wyznaczony i jakie będą terminy nadzoru — odbywa się poprzez Ustawę o cyberbezpieczeństwie, która wchodzi w życie 15 sierpnia 2026. Do tej daty nie ma krajowego wyznaczenia, na którym mógłbyś oprzeć "tak"; potem tak, o ile Twoja firma będzie na ostatecznej liście. Dopóki ta ustawa nie wejdzie w życie, "jeszcze nie dotyczy" lub "jeszcze do ustalenia" to faktycznie prawidłowa odpowiedź, a nie "nie" — to sugeruje ostateczne wyłączenie, które teraz jeszcze nie istnieje.