moj naročitelj je predmet NIS2 in jaz nisem, kaj to za mene pomeni

Vas zadeva pogodba, ne zakon

Ne padete sami pod NIS2, vendar to ne pomeni, da se nič ne spremeni. Vaš odjemalec, ki je predmet te direktive, mora sam po členu 21 odstavku 2 Direktive (EU) 2022/2555 zagotoviti varnost v celotni verigi. To ga zavezuje, da svoje zahteve posreduje svojim dobaviteljem — torej vam. Ne zato, ker ste subjekt v smislu zakona, temveč zato, ker mora vaš odjemalec dokazati svojo lastno odgovornost, in vi ste njen del.

V praksi se to kaže kot vprašalnik ali kot dopolnilni pogodbenimi pogoji, ne kot zakonska obveza, ki bi vas neposredno zavezala. Vprašanja se običajno nanašajo na iste deset ukrepov, ki jih mora sprejeti vaš odjemalec: politika tveganja, obravnava incidentov, kontinuiteta, upravljanje ranljivosti, dostop in kriptografija. Lahko uporabite torej enakovredno utemeljitev, ki jo že imate, tudi če je niste nikoli morali pripraviti za sebe. Če teh dokumentov še nimate v celoti, je priporočljivo najprej preveriti, ali obstaja politika za analizo tveganja in varnost informacijskih sistemov in ali varnostni pogoji za lastne dobavitelje sta že nekje zapisana — saj se ta dva področja pojavljata v praktično vsakem vprašalniku za verigo, ne glede na to, ali ste sami subjekt.

Opredeljeno v členu 21, izvršujoče se preko pogodbe

Obveza za varnost verige je navedena v členu 21 odstavku 2 točki d Direktive (EU) 2022/2555: subjekti morajo sprejeti ukrepe za varnost verižne nabave, vključno z razmerjem do svojih neposrednih dobaviteljev. Nizozemska implementacija tega je predvidena v Zakonu o kibernetski varnosti, ki stopi v veljavo 15. avgusta 2026. Dokler sami ne padete pod področje uporabe tega zakona, ostaja prenos nanj na pogodben način: vaš odjemalec sam določi, kako vam bo predstavil svojo obveznost, in to se lahko razlikuje od odjemalca do odjemalca.