Moja stranka vpraša, ali spadamo pod NIS2, kaj moram izpolniti

Običajno izpolnite "ne" ali "ne neposredno", razen če sami niste v imenovanem sektorju

Večina dobaviteljev ne spada sama pod NIS2 — direktivo čutijo posredno, ker njihov stranka (ki res spada pod NIS2) zahteve prenese prek pogodbe. Če vaše podjetje ne sedi v enem od imenovanih sektorjev (energetika, promet, digitalna infrastruktura, zdravstvo in nekateri drugi, ki so navedeni v prilogi I in II direktive) in ne presega velikostnega razreda, ki ga uporablja direktiva, običajno izpolnite "ne" ali "ne velja". Dvomov o lastnem statusu si ne smete razjasniti sami na podlagi ugibanja: ali podjetje samo spada pod direktivo NIS2 ali njeno nacionalno preuvedbo Navedite, kako to preverite, vključno z Zakonom o kibernetski varnosti, ki je njegova državljanska prevoditevnost in stopi v veljavo 15. avgusta 2026.

Bolj kot vprašanje "spadamo mi pod NIS2" je pogosto pomembno vprašanje, ki se skriva za njim: vaša stranka želi vedeti, ali tudi sami uporabljate deset ukrepov iz člena 21(2) direktive, tudi če sami ne spadate pod zakon. Številne vprašalnike to ohlapno formulirajo kot "ste vi skladni z NIS2", medtem ko dejansko vprašajo o politiki tveganja, odgovoru na incidente, kontinuiteti in obvladovanju dostopa. Zato ne odgovorite le na vprašanje statusa, temveč preverite tudi, ali seznam vsebuje nadaljnja vprašanja, na katera že lahko odgovorite z obstoječimi odgovori, na primer o politike analize tveganja in zaščite informacijskih sistemov.

Pravna podlaga: člen 21(2) in status vašega podjetja

Člen 21(2) Direktive (EU) 2022/2555 našteva deset ukrepov, ki jih mora sprejeti "bistven" ali "pomemben" subjekt pod NIS2; vprašanje, ali imate ta status, izhaja iz seznamov sektorjev v prilogah I in II iste direktive in za Nizozemsko iz Zakona o kibernetski varnosti. ISO/IEC 27001 Annex A ni pravna podlaga, temveč pogosto uporabljeno praktično izvajanje istih ukrepov — če ste za to certificirani, je to relevanten dokaz, ne odgovor na samo vprašanje statusa.