vår kund vill veta om vi omfattas av NIS2, vad fyller jag i

Att själv omfattas av NIS2 är en separat fråga än att behöva uppfylla den

Huruvida din verksamhet själv är NIS2-skyldig beror på sektor och storlek — inte på om din kund frågar om det. NIS2 fungerar med en sektorlista (bilagor I och II till direktivet) och trösklar för storlek: medelstora eller stora enligt EU:s definition. Faller du under det, är du en "väsentlig" eller "viktig enhet" och förpliktelserna i artikel 21 gäller direkt för dig, oberoende av vad en kund skriver i en enkät. Faller du inte under det, kan du helt enkelt fylla i det som "nej, inte självständigt NIS2-skyldig" — det är inte ett undvikande svar, det är det rätta svaret om det faktiskt stämmer.

Där det ofta går fel: en leverantör som själv faller utanför området får ändå kraven i artikel 21 pålagda via kontraktet, eftersom hans kund måste pröva det mot sina egna säkerhetskrav på leverantörer måste testa det. Det är då ingen NIS2-plikt för dig, utan en avtalsöversättning av den. Fyll därför i svaret på frågan som den ställs: "omfattas ni av NIS2" är ett ja/nej om din egen status, inte om du tillämpar NIS2-liknande åtgärder. Dessa två förväxlas ofta fristående från varandra, och att fylla i "ja" för att du redan arbetar med ISO 27001 eller är certifieradär faktiskt felaktigt om du själv inte omfattas.

Nederländsk implementering följer via cybersäkerhetslagens

Direktivet själv (2022/2555) definierar sektorerna och storlekströskeln för väsentliga och viktiga enheter; den nederländska utformningen — vem exakt som anses, och med vilka tillsynstidsfrister — genomförs via cybersäkerhetslagens, som träder i kraft den 15 augusti 2026. Till dess datum finns det ingen nationell utnämnelse som du kan basera ett "ja" på; efter det väl, i den mån din verksamhet står på den slutgiltiga listan. Så länge lagen inte är i kraft är "ännu inte tillämplig" eller "ännu att fastställa" det faktiskt rätta svaret, inte "nej" — det antyder en slutlig uteslutning som ännu inte finns.