Du har læst et eller andet sted, at NIS2-bøder kan løbe op til ti millioner euro eller to procent af omsætningen, og du spørger dig selv, om det kan ske for dig. Det korte svar: disse beløb står faktisk i direktivet, men de er beregnet til væsentlige og vigtige enheder — organisationer, der selv falder ind under NIS2, med en risikostyringspligt, en registreringspligt og en indberetningspligt. Hvis dit selskab ikke falder ind under disse kategorier, men du alligevel leverer til en sådan organisation, så er en bøde ikke det risiko, der bør holde dig vågen om natten.
Det risiko, som du i stedet løber, er mere praktisk og kommer hurtigere: en køber, der selv falder ind under risikostyringspligten, skal vurdere sine leverandører. Hvis du ikke kan besvare spørgeskemaet eller dokumentere kontraktvilkårene, er resultatet normalt ikke en bøde, men et tab af kontrakten. Denne proces varer ofte uger, ikke år.
For dem, som bøden faktisk er beregnet til
Direktivet retter håndheevelsen mod de organisationer, der selv er pligtige: de væsentlige og vigtige enheder fra sektorerne i bilag I og II. For dem fastlægger den nationale lov — i Nederlandene Cybersikkerhedsloven — hvordan den kompetente myndighed handler, hvis risikostyringspligten eller indberetningspligten ikke er overholdt. Hvis du ikke selv er plichtig, men leverer til en sådan enhed, er du ikke part i det håndheevelsestrajet. Du mærker direktivet, men gennem dine afnemmers kontraktvilkår, ikke gennem en bødebeslutning på dit eget navn. Hvis du er i tvivl om, hvorvidt din organisation selv falder ind under loven, kan det afklares med et par spørgsmål via kontrollen, der kortlægger din situation i få trin.
Hvad direktivet nævner af beløb
Direktivet selv nævner maksimale beløb for væsentlige og vigtige enheder, med et højere loft for væsentlige enheder end for vigtige. Det drejer sig altid om det højeste af et fast beløb eller en procentdel af den globale årlige omsætning — altså ikke automatisk det fulde beløb ved hver overtrædelse. Hvordan den kompetente myndighed afvejer et konkret tilfælde, og hvilket beløb der faktisk pålægges, er ikke fastsat i direktivet og ligger hos den kompetente myndighed. Vi forudsiger bevidst ikke noget om det; hvad direktivet og den nationale lov præcis siger, kan du læse om i den officielle tekst og de kompetente myndigheders publikationer.
Hvorfor kontrakten kommer før bøden
Et bødespor begynder normalt først efter signaler, undersøgelse og en chance for at rette op — det tager tid. En indkøbsafdeling, der sender et sikkerhedsspørgeskema, venter ikke på det. Hvis svaret mangler eller er ufuldstændigt, gives ordren ofte simpelthen til en anden leverandør, eller du får en rettelsesperiode, som du selv skal udfylde. Det gør samtalen med din afnemer mere presserende for de fleste små og mellemstore virksomheder end spørgsmålet om, hvorvidt en bøde nogensinde kommer i billedet. Mere om hvad der præcis ligger bag sådan et spørgeskema, læser du i oversigten over emner, som er udvalgt efter situation.
Hvad det betyder, hvis du er rammeget via værdikæden
Hvis du ikke selv er plichtig, men alligevel leverandør til en plichtig organisation, så handler spørgsmålet ikke om, hvorvidt en bøde truer, men om, hvorvidt du kan dokumentere, at du har den krævede indsats på plads. Det handler om dokumentation, en ejer for hver indsats og et svar, du ikke behøver at finde på hver gang forfra. Hvis du først har fastlagt det, skal du bruge meget mindre arbejde på at besvare det næste spørgeskema. Ofte stillede spørgsmål om hvad der kan og ikke kan forlange af dig, er samlet på siden med hyppigt stillede spørgsmål.
Hvis du selv er væsentlig eller vigtig, så tæller bøden som sidste udvej, men risikostyringspligten selv er det egentlige arbejde: at gennemføre indsatser, dokumentere dem og kunne demonstrere det. Hvordan denne proces er struktureret, og hvor informationen på dette websted kommer fra, er forklaret på siden, som beskriver, hvordan platformen fungerer.
Vil du vide, om din organisation selv falder ind under NIS2, eller om du kun bliver ramt via en afnemer? Gennemfør den gratis NIS2-kontrol, eller læs først roligt gennem vidensbanken — begge dele er tilgængelig uden konto.