cum știu dacă compania mea se încadrează în NIS2

Sectorul, dimensiunea și rolul în lanț determină împreună răspunsul

Dacă o întreprindere se supune Directivei NIS2 depinde de trei factori care acționează împreună: sectorul în care operează, dimensiunea organizației și rolul pe care îl joacă în lanțul de aprovizionare al altor întreprinderi. Cine operează într-un sector din anexa I sau II — gândiți-vă la energie, transport, infrastructură digitală, sănătate și o serie de alți sectori — și depășește limitele de dimensiune stabilite, se supune direct directivei, ca entitate esențială sau entitate importantă. O prezentare a acestor sectoare se găsește pe pagina despre care sunt sectoarele care se încadrează în Directiva NIS2, și distincția dintre cele două categorii este explicată pe pagina despre care este diferența dintre o entitate esențială și o entitate importantă.

O întreprindere care nu operează într-un sector menționat sau rămâne sub limitele de dimensiune nu este automat scutită. Din momentul în care furnizează unei organizații care este ea însăși obligată conform legii, intră în vedere prin lanț, căci organizația obligată trebuie să evalueze furnizorii săi. Acesta explică de ce și întreprinderile care la prima vedere nu au nimic de-a face cu directiva primesc totuși chestionare de securitate și cerințe contractuale. Instituțiile financiare formează o excepție separată: ele se supun unui alt regulament european, DORA, și nu NIS2 — ceea ce se aplică pentru acel sector se găsește pe pagina despre se aplică băncii sau asigurătorului meu DORA sau NIS2.

Pe ce se bazează aceasta: dispoziții sectoriale și de lanț din directivă

Clasificarea în sectoare și criteriile de dimensiune provin din Directiva NIS2 însăși, cu obligația de diligență care rezultă din aceasta transpusă în articolul 21 și obligația de raportare corespunzătoare în articolul 23; transpunerea olandeză se realizează prin Legea privind securitatea cibernetică, și NCSC oferă îndrumare cu privire la modul în care obligația de diligență și obligația de raportare funcționează în practică. Mecanismul lanțului — că organizațiile obligate trebuie să evalueze furnizorii săi — rezultă de asemenea din această dispoziție privind obligația de diligență.