náš zákazník podlieha NIS2 a teraz nám kladie požiadavky, čo to znamená

Váš klient Vám sprostredkovává desať opatrení z článku 21

To znamená, že sa stávate súčasťou prístupu reťaze, ktorý predpisuje článok 21 ods. 2 NIS2. Entita spadajúca pod NIS2 musí sama prijať "bezpečnostné opatrenia v dodávateľskom reťazci" — bod (d) tohto odstavca — a váš klient to robí tak, že požiadavky, ktoré si stanovuje sám, prenáša aj na vás. Touto zoznamom otázok sa teda sami automaticky nestaváte subjektom povinným podľa NIS2; na vaše pleacá sa prenáša dôsledok povinnosti vášho klienta. Otázka, či sami spadáte pod smernicu, je samostatná — odpovedáte na ňu osobitne, napríklad s vysvetlením o alebo či podnik sám spadá pod smernicu NIS2.

V praxi sa zoznam otázok prekláda na články 21 ods. 2 do jednotlivých otázok: máte analýzu rizík a politiku bezpečnosti informácií, ako nakladáte s incidentmi, ako je to s zálohami a obnovou, ako spravujete prístup a používate viacfaktorovú autentifikáciu, a — určenie, ktoré váš klient práve na vás uplatňuje — stanovenosť aj vy požiadavky voči vlastným dodávateľom. Pre každý z týchto bodov existuje samostatné vysvetlenie v znalostnej základni, ako napríklad politika analýzy rizík a bezpečnosti informačných systémov a požiadavky bezpečnosti voči vlastným dodávateľom. Ak už máte certifikát ISO 27001, pokrýva to väčšinu týchto otázok naraz.

Kde sa to nachádza v smernici: článok 21 odsek 2

Článok 21 ods. 2 Smernice (EÚ) 2022/2555 desať opatrení vymenúva doslova, od politiky analýzy rizík (a) až po bezpečnosť pri nákupe produktov a služieb a vzťah s dodávateľom (d), až po riadenie prístupu a viacfaktorovú autentifikáciu (j). Holandský zákon o kybernetickej bezpečnosti transponuje túto smernicu do národného práva a vstúpi do platnosti 15. augusta 2026; až do tohto dátumu môže váš klient už teraz preniesť svoju vlastnú prípravu na vás, aj bez toho, aby zákon už platil. Kto desať opatrení pozná ako jednotlivé kontroly prílohy A normy ISO/IEC 27001, môže veľa odpovedí prevziať priamo zo svojho existujúceho ISMS.