är det samma att fylla i denna enkät som att uppfylla NIS2

Nej, enkäten är en granskning, inte en juridisk skyldighet

Nej, dessa två är inte samma. Enkäten som du får från en kund är ett inköpsinstrument: den kunden vill veta om du som leverantör utgör en risk i hans kedja. NIS2 — fullständigt Direktiv (EU) 2022/2555 — är en juridisk förpliktelse som endast gäller organisationer som själva som enhet omfattas av direktivet, eller av dess nederländska genomförande, cybersäkerhetslagens. Huruvida det gäller för ditt företag beror på sektor och omfattning, och det avgör du oberoende av vilken lista du också får. Kontrollera det separat när du svarar på frågan om företaget själv omfattas av NIS2-direktivet, för att svaret inte ändrar något på vad du fyller i här.

Vad som däremot stämmer: många kunder som själva omfattas av NIS2 översätter sin egen skyldighet till sina leverantörer. Artikel 21 punkt 2 i direktivet förpliktar dessa enheter att vidta tio kategorier åtgärder, inklusive kedjesäkerhet — och det är precis därför du som underleverantör får frågor om riskanalys, incidenthantering och kontinuitet. Enkäten är således följden av någon annans NIS2-skyldighet, inte beviset på din egen skyldighet. Du kan fylla i listan fullständigt och sanningsenlligt utan att du därigenom blir "NIS2-kompatibel", och omvänt: om du själv omfattas av lagen hjälper en ifylld lista dig inte med dina egna förpliktelser — de sköts genom tillsyn, inte via en kundportal.

Var den skillnaden kommer ifrån: artikel 21 mot frågorna själva

Artikel 21 punkt 2 i Direktiv (EU) 2022/2555 nämner tio åtgärder som en NIS2-enhet själv måste vidta, bland annat om säkerhetskrav på egna leverantörer och om cyberhygienisk utbildning för personal. En enkät från en kund översätter dessa åtgärder till konkreta frågor till dig som leverantör, men själva den juridiska normen står i direktivet och, för nederländerna, i cybersäkerhetslagens — inte i din klients portal.