Подпадает ли наша компания под директиву NIS2 и как это проверить?

Такие письма сейчас всем подряд рассылают. Юристы генподрядчиков просто берут шаблон и веером шлют по всей базе поставщиков. По лимитам штата и выручки вы под NIS2 напрямую не попадаете, государству ничего сдавать не обязаны. Не ведитесь на панику и не сливайте сотни тысяч евро на консультантов, просто обсуждайте условия договора.

Даже если закон на вас напрямую не распространяется, заказчик все равно потребует базовую цифровую гигиену. Обычно просят стандартный набор: двухфакторка (MFA), бэкапы изолированно от сети, базовый регламент реагирования на инциденты и инструктаж сотрудников по безопасности. Впрочем, это и так для любого бизнеса мастхэв.

Проверьте три официальных источника: 1) Списки приложений к итальянскому национальному декрету (decreto legislativo). 2) Методичку ACN по расчету масштаба предприятия. 3) Если вы входите в холдинг или группу компаний — совокупный штат и оборот всей группы (по отдельности вы можете быть маленькими, но в рамках группы вылететь за лимиты).

Уважаемый коллега, ради сохранения коммерческих отношений с ключевым заказчиком оставлять запрос без ответа не рекомендуется. Оптимальным решением будет составить официальный ответ: указать, что по критериям штата и оборота предприятие не относится к категории существенных или важных субъектов, однако в целях обеспечения безопасности цепочки поставок вы готовы предоставить сведения о действующих у вас мерах защиты.

Крупный бизнес обожает перекладывать свои регуляторные проблемы на плечи МСБ. Под предлогом «вы подпадаете под NIS2» вам сейчас попытаются навязать дорогостоящий аудит за ваш счет. Прямой обязанности у вас нет. Проконсультируйтесь с юристом и твердо дайте понять заказчику, что вешать на себя кабальные штрафы сверх закона вы не намерены.

Мы примерно такого же размера (42 человека, оборот 8 млн EUR). От нашего заказчика-энергетика прилетела ровно такая же бумага. Заплатили 1 200 EUR независимому юристу по IT-праву за заключение о том, что мы вне периметра директивы, и отправили клиенту. Вопрос закрыли, от аудита нас освободили.

если меньше 50 человек и оборот до 10 млн, то по закону NIS2 вас напрямую не касается, но ключевой клиент вполне может вписать это в договор как обязательное условие.

я тоже так считаю потом в общем если на один вопрос вы получаете три разных овтета вопрос задан неправильно.

не стесняйтессь спрашивать, молчание всегда обходится дороже. честно исправьте если я ошибаюсь.

По теме на кого распространяется nis2 так категорично говорить сложно. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Если напишете результат здесь, это поможет и другим.

Об этом много говорят, но у нас так никогда не было. При принятии решений записывайте и худший сценарий, а не только лучший.

Удачи.

Верно.

Если углубиться в детали: Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Конечно, если ваша ситуация отличается, всё меняется.

Не могли бы вы это пояснить? Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

При принятии решений записывайте и худший сценарий, а не только лучший. Я бы пошел этим путем.

Извините, но это верно не во всех случаях. в общем когда пытаешься изменить всё сразу ничего не приживается.

Удачи.

Буду рад, если напишете о результате.

Я столкнулся с тем же два года назад. Ответ сильно зависит от отрасли, универсального правила нет.

Вопрос будет немного наивным, извините заранее. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Надеюсь, это будет полезно.

сохранил.