Naša stranka želi vedeti, ali smo pod NIS2, kaj izpolnim

Samo spadanje pod NIS2 je drugo vprašanje kot skladnost z njo

Ali vaše podjetje samo po sebi spada pod NIS2, je odvisno od sektorja in velikosti — ne od tega, ali vas to zahteva vaš kupec. NIS2 deluje s seznamom sektorjev (prilogi I in II direktive) in pragovi za velikost: srednje ali velika glede na opredelitev EU. Če spadate pod to, ste »bistvena« ali »pomembna entiteta« in se vam obveznosti članka 21 neposredno nanašajo, ne glede na to, kaj kupec napiše v vprašalnik. Če ne spadate pod to, lahko preprosto odgovorite »ne, sami po sebi ne spadata pod NIS2« — to ni izogibanje, to je pravilen odgovor, če je dejansko res.

Pogosta napaka: dobavitelj, ki sam ne spada v obseg, dobi zahteve članka 21 vseeno vsiljene prek pogodbe, ker mora svoj kupec те preveriti glede svoje varnostne zahteve do dobaviteljev , je to za vas torej ne-NIS2 obveznost, temveč pogodbeni prenos nanjo. Izpolnite torej odgovor na vprašanje, kot ga postavljajo: »spadate li pod NIS2« je da/ne na vaš lastni status, ne pa na to, ali že uporabljate ukrepe, podobne NIS2. Ti dve stvari se pogosto zamešata, in »ja« napisati, ker že delate na ISO 27001 ali certificirani ste, je dejansko nepravilno, če sami ne spadata v obseg.

Nederlandska prenos poteka prek zakona o kibernetski varnosti

Sama direktiva (2022/2555) določa sektorje in prag velikosti za bistvene in pomembne entitete; nederlandski prenos — kdo natanko je razglašen in s katerimi nadzornimi roki — poteka prek Cyberbeveiligingswet, ki stopi v veljavo 15. avgusta 2026. Do tega datuma ni nacionalne razglasitve, na katero bi lahko temeljili »ja«; po tem pa je, vendar le, če vaše podjetje stoji na končnem seznamu. Dokler ta zakon ne stopi v veljavo, je »še ni na mestu« ali »še se bo določilo« dejansko pravilen odgovor, ne »ne« — to nakazuje dokončno izključitev, ki je zdaj še ni.