kako vem, ali moje podjetje spada pod nis2

Sektor, velikost in vloga v verigi skupaj določajo odgovor

Ali podjetje spada pod Direktivo NIS2, je odvisno od treh stvari skupaj: sektorja, v katerem je aktivno, velikosti organizacije in vloge, ki jo ima v verigi drugih podjetij. Kdor deluje v sektorju iz priloge I ali II — pomislite na energijo, promet, digitalno infrastrukturo, zdravstvo in vrsto drugih sektorjev — in presega določene meje velikosti, sam spada pod direktivo, kot subjekt kritične ali pomembne infrastrukture. Pregled teh sektorjev je na strani o kateri sektorji spadajo pod direktivo nis2, razlika med obema kategorijama pa je razložena na strani o kakšna je razlika med bistveno in pomembno entiteto.

Podjetje, ki samo po sebi ne deluje v navedenem sektorju ali ostane pod mejami velikosti, s tem ni samodejno izven polja. Takoj ko dobavlja organizaciji, ki je sama zavezana, pride v pogled preko verige, saj mora ta zavezana organizacija oceniti svoje dobavitelje. To pojasnjuje, zakaj tudi podjetja, ki se na prvi pogled zdijo brez povezave z direktivo, vseeno prejemajo vprašalnike o varnosti in pogodbene zahteve. Finančne institucije so pri tem posebna izjema: spadajo pod drugo evropsko uredbo, DORA, in ne pod NIS2 — kaj velja za ta sektor, je na strani o za mojo banko ali zavarovalnico velja dora ali nis2.

Kjer je to osnovano: sektorske in verige določbe iz direktive

Razdelitev v sektorje in merila velikosti izvirata iz same Direktive NIS2, z obveznostjo nege, ki iz nje izhaja, razdelano v členu 21 in z obveznostjo prijave v členu 23; slovenska omejitev tega poteka preko Zakona o kibernetski varnosti, NCSC pa daje svetovanja o tem, kako obveznost nege in obveznost prijave v praksi delujeta. Delovanje verige — da morajo zavezane organizacije oceniti svoje dobavitelje — izhaja tudi iz te obveznosti nege.