môj objednávateľ podlieha NIS2 a ja nie, čo to pre mňa znamená

Dotkne vás to prostredníctvom zmluvy, nie prostredníctvom zákona

Sami nespadáte pod NIS2, ale to neznamená, že sa nič nezmení. Váš klient, ktorý sa pod smernicu skutočne vzťahuje, musí podľa článku 21 ods. 2 Smernice (EÚ) 2022/2555 zabezpečiť bezpečnosť v celom reťazci. To ho núti, aby své požiadavky preniesol na svojich dodávateľov — aj na vás. Nie preto, že ste subjektom v zmysle zákona, ale preto, že váš klient musí preukázať svoju vlastnú zodpovednosť a vy ste jej súčasťou.

V praxi sa na to narazí ako na zoznam otázok alebo ako na dodatočné zmluvné podmienky, nie ako na právnu povinnosť, ktorá by na vás pôsobila priamo. Otázky sa zvyčajne týkajú rovnakých desiatich opatrení, ktoré musí prijať váš klient sám: zásady riadenia rizík, riešenie incidentov, kontinuita, riadenie zraniteľností, prístup a kryptografia. Môžete teda využiť rovnakú dokumentáciu, ktorú už máte, aj keď ste ju nikdy nemali povinnosť si vytvoriť. Ak tieto dokumenty zatiaľ nemáte úplné, odporúča sa najprv skontrolovať, či existuje zásady analýzy rizík a bezpečnosti informačných systémov a či bezpečnostné požiadavky na vlastných leverancielov sú už zaznamenané — pretože tieto dve oblasti sa objavujú v takmer každom zozname otázok v reťazci, bez ohľadu na to, či sami spadáte pod režim ako subjekt.

Zakotvené v článku 21, pôsobiace prostredníctvom zmluvy

Povinnosť bezpečnosti dodávateľského reťazca je stanovená v článku 21 ods. 2 písmeno d) Smernice (EÚ) 2022/2555: subjekty musia prijať opatrenia na zabezpečenie bezpečnosti dodávateľského reťazca vrátane vzťahu s ich priamymi dodávateľmi. Holandská transpozícia sa realizuje prostredníctvom zákona o kybernetickej bezpečnosti, ktorý nadobúda účinnosť 15. augusta 2026. Pokiaľ sami nespadáte do rozsahu pôsobnosti tohto zákona, vzťah na vás pôsobí zmluvne: váš klient si sám určuje, ako si od vás vymáha splnenie svojej povinnosti, a to sa môže líšiť od klienta k aplikácii.