Czy moje przedsiębiorstwo podlega NIS2?

## Czy moja firma podlega dyrektywie NIS2? To, czy Twoja firma sama podlega dyrektywie NIS2, zależy od dwóch czynników: sektora, w którym działasz, oraz wielkości Twojej organizacji. Dyrektywa wskazuje w dwóch załącznikach sektory, które uważa za ważne dla społeczeństwa lub gospodarki, od energii i transportu po infrastrukturę cyfrową i usługi ściekowe. Jeśli Twoja firma mieści się w takim sektorze i w wielkości, którą określa dyrektywa, to prawdopodobnie jesteś sam «podmiotem kluczowym» lub «podmiotem ważnym», z całym bagażem obowiązków. Ale odpowiedź nie kończy się tam. Znacznie więcej firm znajduje się poza sektorem i wielkością, a mimo to podlega wymogom: jako dostawca, instalator lub usługodawca firmy, która jest zobowiązana. Organizacje zobowiązane muszą bowiem ocenić swoją łańcuch dostaw, a to przekłada się na listy kontrolne i wymogi umowne wobec firm, które same nigdy nie muszą rejestrować się u organu nadzoru. ### Sektor: załącznik I i II Dyrektywa wymienia sektory w dwóch załącznikach. Załącznik I wymienia sektory uważane za kluczowe: między innymi energetyka, transport, bankowość, woda pitna, infrastruktura cyfrowa i administracja publiczna. Załącznik II wymienia sektory uważane za ważne, takie jak usługi pocztowe i kurierskie, zarządzanie odpadami, chemia, żywność i niektóre usługi cyfrowe. Firma instalacyjna, dostawca usług IT lub biuro doradcze zwykle nie figurują z nazwy w tych załącznikach, ale opisy są szersze niż sama nazwa sugeruje. Jeśli wątpisz, czy Twoja działalność mieści się w jednym z tych sektorów, dobrze jest przeczytać opis w oficjalnym tekście, nie tylko nazwę sektora. ### Wielkość: kiedy Twoja firma się liczy Obok sektora dyrektywa patrzy na wielkość organizacji, stosując standardową klasyfikację UE na małe, średnie i duże przedsiębiorstwa na podstawie liczby pracowników i przychodu lub sumy bilansowej. Dla większości sektorów obowiązuje: im większe przedsiębiorstwo, tym szybciej podlega zakresu. Istnieją również wyjątki, w których wielkość ma mniejsze znaczenie, na przykład gdy organizacja jest jedynym dostawcą określonej usługi w kraju. Wyjątki te są dokładnie opisane w dyrektywie i w ustawie krajowej, na której się opiera; dokładna ocena Twojej konkretnej sytuacji należy do Ciebie, Twojego prawnika lub organu nadzoru. ### Największa grupa znajduje się poza nią, a mimo to otrzymuje wymogi Część dyrektywy, która przyciąga największą uwagę, dotyczy obowiązku należytej staranności: organizacje zobowiązane muszą podjąć odpowiednie środki, w tym ocenić swoich dostawców. To dokładnie tam, gdzie ma do czynienia największa grupa firm. Firma instalacyjna utrzymująca systemy zarządzania budynkami dla przedsiębiorstwa energetycznego, firma sprzątająca pracująca dla szpitala lub partner IT gminy: żaden z nich nie musi się rejestrować sam, ale wszyscy mogą otrzymać listę kontrolną. W praktyce to często nazywane jest «dotknięte łańcuchem»: nie podlegasz sam dyrektywie, ale klient, który jej podlega, prosi Cię, aby wykazać, że Twoje bezpieczeństwo jest w porządku. To, czy dotyczy to Twojej firmy, zależy od tego, kim są Twoi klienci i jak ważna jest Twoja usługa dla nich. Trudno ocenić bez przeglądu sektora, wielkości i roli w łańcuchu jednocześnie. [[LINK:/nis2-check|W kilka pytań zobaczysz, gdzie Twoja firma mniej więcej stoi]], z wyjaśnieniem dlaczego i sugestią na następny krok. ### Instytucje finansowe: osobna regulacja Banki, ubezpieczyciele i inne instytucje finansowe nie podlegają NIS2, ale osobnemu rozporządzeniu dotyczącemu cyfrowej odporności operacyjnej, skierowanemu konkretnie do sektora finansowego. Kto działa w tym sektorze, zwykle to rozpoznaje już przy pierwszym pytaniu do formularza o sektore. ### Co robić, jeśli odpowiedź nie jest jasna Sektor i wielkość razem dają dobre pierwsze wskazanie, ale dokładna granica między «kluczowym», «ważnym», «dotkniętym łańcuchem» i «niedotknięty» wymaga indywidualnego podejścia. [[LINK:/onderwerpen|Baza wiedzy ze wszystkimi tematami dla każdej sytuacji]] wyjaśnia każde pojęcie i odnosi się do lokalizacji w oficjalnym tekście. Jeśli wciąż masz wątpliwości po przeczytaniu tego, to prawnik lub organ nadzoru w Twoim kraju jest odpowiedną stroną do oceny Twojej konkretnej sytuacji; secria.eu celowo się tam nie wypowiada. Czy chcesz najpierw wiedzieć, skąd pochodzą informacje na tej platformie i jak są aktualne? [[LINK:/hoe-het-werkt|Przeczytaj tutaj, jak śledzimy źródła]]. Odpowiedzi na praktyczne pytania dotyczące korzystania z platformy znajdziesz w [[LINK:/veelgestelde-vragen|przeglądzie często zadawanych pytań]]. Krótkę odpowiedź na pytanie «czy moja firma podlega NIS2» otrzymasz zatem poprzez zestawienie sektora, wielkości i roli w łańcuchu. Wykonaj bezpłatną kontrolę i przeczytaj bazę wiedzy; dają Ci już bez konta pierwsze, uzasadnione wyobrażenie o tym, gdzie stoi Twoja firma.