Kratek odgovor: NIS2 ne zavezuje avtomatično vseh malih podjetij – odvisno je od sektorja, velikosti in vloge v dobavni verigi. Manjše podjetje je lahko zavezano neposredno (če presega mejne vrednosti v določenem sektorju) ali posredno, če je pomemben dobavitelj zavezanega subjekta.
Kdaj NIS2 zadeva manjše podjetje?
Neposredno takrat, ko podjetje deluje v enem od sektorjev iz prilog direktive (energetika, promet, zdravstvo, digitalna infrastruktura, javna uprava in drugi) in dosega mejne vrednosti glede zaposlenih ali prometa. Posredno pa takrat, ko je pogodbeni dobavitelj ali izvajalec storitev za zavezan subjekt, ki od njega zahteva varnostna dokazila kot del dobavne verige. Glejte Ali sem zavezanec?
Kaj je realno pričakovati?
Manjše podjetje običajno nima lastnega varnostnega oddelka, zato je pristop drugačen kot pri velikih organizacijah: prioriteta so ukrepi z največjim vplivom na tveganje (dostopne pravice, varnostne kopije, osnovna zaščita končnih točk, postopek ob incidentu), ne poskus vzpostaviti vseh kontrol hkrati.
Praktični koraki za manjše podjetje
- Ugotovite, ali ste zavezanec neposredno ali posredno (prek pogodbenih zahtev).
- Izvedite osnovno GAP analizo NIS2, da veste, kje dejansko stojite.
- Uredite najpomembnejših 5-10 ukrepov, ne poskušajte vsega hkrati.
- Pripravite osnoven postopek za priglasitev incidenta – kdo odloča in komu se poroča.
- Dokumentirajte odločitve, tudi če so preproste – dokazljivost šteje enako kot pri velikih organizacijah.
Tipične napake malih podjetij
Najpogostejša napaka je čakanje, da bo NIS2 “verjetno mimo nas šel”, brez dejanske preveritve zavezanosti. Druga napaka je poskus kopirati obsežen program velikega podjetja, ki je za manjšo organizacijo nesorazmeren in se zato nikoli ne izvede v celoti.
Kako pomaga CISOaaS?
CISOaaS za manjša podjetja prilagodi obseg in tempo dela realnim virom – brez zaposlovanja lastnega CISO, prek storitve virtualnega CISO, ki vodi samo najpomembnejše korake in jih dokumentira za morebiten nadzor ali zahtevo poslovnega partnerja.
Sorodne vsebine
Glejte tudi: NIS2 direktiva, NIS2 implementacija in NIS2 zavezanci.
Pogosta vprašanja
Ali NIS2 velja tudi za podjetja z manj kot 50 zaposlenimi?
Praviloma so mejne vrednosti postavljene pri srednjih in velikih podjetjih, a manjše podjetje je lahko zavezano, če deluje v posebej občutljivem sektorju ali gre za edinega ponudnika določene storitve. Zavezanost je treba preveriti konkretno, ne po vtisu o velikosti.
Kaj, če smo samo dobavitelj zavezanega podjetja?
Tudi v tem primeru je smiselno urediti osnovne varnostne ukrepe, ker bo zavezano podjetje od vas verjetno zahtevalo dokazila v okviru obvladovanja tveganj dobavne verige.
Uradni viri za preverjanje
Sorodne vsebine: Koga zadeva NIS2.
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.