o meu cliente pergunta se estamos abrangidos pela NIS2 o que devo preencher

Normalmente preenche "não" ou "não diretamente", a menos que o seu setor seja designado

A maioria dos fornecedores não está abrangida diretamente pela NIS2 — sentem a diretiva indiretamente, porque o seu cliente (que está abrangido pela NIS2) impõe exigências através do contrato. Se a sua empresa não se encontra num dos setores designados (energia, transportes, infraestruturas digitais, saúde e alguns outros indicados nos anexos I e II da diretiva) e não ultrapassa a classe de dimensão que a diretiva utiliza, normalmente preenche "não" ou "não aplicável". Não deve decidir por si próprio sobre a sua própria situação com base numa suposição: a empresa se enquadra na Diretiva NIS2 ou na transposição nacional dessa diretiva explique como verifica isso, incluindo a Lei da Cibersegurança que é a transposição neerlandesa e entra em vigor em 15 de agosto de 2026.

Muitas vezes, mais importante do que a pergunta "estamos abrangidos pela NIS2" é a pergunta que se esconde por trás dela: o seu cliente quer saber se também aplica as dez medidas do artigo 21.º, n.º 2 da diretiva, mesmo que não esteja abrangido pela lei. Muitos questionários formulam isso vagamente como "está em conformidade com a NIS2", quando na verdade perguntam sobre política de risco, resposta a incidentes, continuidade e controlo de acesso. Portanto, não responda apenas à pergunta sobre o estatuto, mas verifique também se a lista coloca perguntas de seguimento que pode responder com as suas respostas já existentes, por exemplo sobre política de análise de risco e segurança dos sistemas de informação.

Fundamento jurídico: artigo 21.º, n.º 2 e o estatuto da sua empresa

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona as dez medidas que uma entidade "essencial" ou "importante" abrangida pela NIS2 deve tomar; a questão de ter esse estatuto decorre das listas de setores nos anexos I e II da mesma diretiva e, para os Países Baixos, da Lei da Cibersegurança. ISO/IEC 27001 Annex A não é uma fonte legal, mas uma implementação prática frequentemente utilizada das mesmas medidas — se tem a certificação para isso, é prova relevante, não é uma resposta à própria pergunta sobre o estatuto.