Registrering hos tilsynsmyndigheden: hvordan fungerer det?
Organisationer, der falder ind under NIS2-direktivet som væsentlige eller vigtige enheder, skal registrere sig selv hos den nationale tilsynsmyndighed. Dette sker via en portal, som tilsynsmyndigheden etablerer til formålet, med oplysninger om jeres organisation, jeres kontaktpersoner og de tjenester, I leverer. Der kommer ikke noget brev, der minder jer om det: forpligtelsen til at registrere sig ligger hos organisationen selv, ikke hos tilsynsmyndigheden for at opsøge jer.
Dette sidste overrasker mange ledelser. I forbindelse med andre forpligtelser — en tilladelse, en årlig opgørelse — modtager I ofte et signal fra myndigheden selv. Med registreringsforpligtelsen under Cybersikkerhedsloven fungerer det omvendt: tilsynsmyndigheden kender på forhånd ikke til, hvilke organisationer der falder ind under loven, og er derfor afhængig af jeres egen vurdering og handling.
Hvilke oplysninger bliver anmodet om
Registreringen anmoder typisk om identifikationsoplysninger om organisationen, såsom navn, CVR-nummer og adresse, suppleret med den sektor og den aktivitet, hvorunder I falder ind under loven. Derudover bliver der spurgt til en eller flere kontaktpersoner, som tilsynsmyndigheden kan få kontakt til, med navn, telefonnummer og e-mailadresse — disse er ofte andre personer end den almindelige virksomhedskontaktperson, fordi det handler om tilgængelighed ved en hændelse. Også de netværks- og informationssystemer eller tjenester, der er relevante for klassificering som væsentlig eller vigtig, og nogle gange de medlemsstater, hvor I leverer tjenester, indgår i det billede, som tilsynsmyndigheden ønsker at få.
De præcise felter og formularen layout varierer fra land til land, fordi hver medlemsstat omformer direktivet i sin egen nationale lovgivning, og tilsynsmyndigheden selv etablerer portalen. Det, der bliver spurgt om i Danmark, behøver derfor ikke at svare helt til, hvad en tilsynsmyndighed i et andet land spørger en datterselskab der om.
Hvorfor der ikke kommer noget brev
Registreringsforpligtelsen er udformet som en forpligtelse for organisationen, ikke som en invitation fra staten. Tilsynsmyndigheden har ved lovens start ikke en fuldstændig liste over, hvem der er aktive hvor og under hvilken tærskel der falder — disse oplysninger skal komme fra sektoren selv. Det svarer til, hvordan en CVR-registrering eller en momsopgørelse fungerer: ansvaret for at handle rettidigt ligger hos virksomhedsudøveren, selvom ingen sender en påmindelse.
For mange små og mellemstore virksomheder, der berøres gennem leverandørkæden, er dette uanset ikke relevant: kun væsentlige og vigtige enheder selv har en registreringsforpligtelse. Virksomheder, der kun modtager et cybersikkerhedsspørgeskema fra en køber, der falder ind under loven, registrerer sig selv ikke hos tilsynsmyndigheden. Det er ikke altid straks klart, hvilken gruppe jeres organisation tilhører; i et par spørgsmål se hvor jeres organisation står giver her en første vejledning med en forklaring for hver resultat.
Hvornår skal registrering finde sted
Den nationale lov bestemmer, inden for hvilken frist og fra hvilket tidspunkt en organisation skal registrere sig, når den bliver klassificeret som væsentlig eller vigtig. Disse frister findes i den nationale omformning af direktivet og på tilsynsmyndighedens egen hjemmeside, og de kan ændre sig i takt med, at lovgivningen udvikles videre. For den aktuelle status bør I høre hos den kompetente tilsynsmyndighed eller en jurist, ikke hos en generel artikel — en ændring af hjemmesiden eller en meddelelse fra tilsynsmyndigheden er på dette punkt vejledende, ikke en dato, der ligger gemt et sted.
Hvad secria.eu gør og ikke gør ved registrering
Platformen hjælper med at forberede teksten og dataene, som du har brug for for at udfylde registreringsformularen: hvilke kontaktpersoner du skal indsende, hvilken sektor- og aktivitetsbeskrivelse der passer til, hvordan tilsynsmyndigheden kategoriserer, og hvilken dokumentation der ligger bag klassificeringen. Det gør det udtrykkeligt ikke: at indgive vegne af dig. Du skal selv indsende via din tilsynsmyndigheds portal; secria.eu forbereder teksten, du placerer den. Hvordan denne forberedelse kommer til stand præcist, og hvilke kilder der bruges, er forklaret på siden om, hvordan informationen fremkommer.
Usikkerhed om din egen situation
Hvorvidt og hvornår registrering gælder for din organisation, afhænger af den sektor, du opererer i, omfanget af din organisation og den nationale lov, der gælder for dig. Det er ikke et spørgsmål, som ét generelt artikel kan besvare for din specifikke situation; den kompetente tilsynsmyndighed eller en jurist er den rigtige kontaktperson til det. Hyppigt stillede praktiske spørgsmål om registrering, indberetningspligt og leverandørernes rolle er samlet på siden med hyppigt stillede spørgsmål.
Ønsker du først et overblik over alle emner omkring direktivet (EU) 2022/2555 og cybersikkerhedsloven, fra sektorindeling til de ti håndteringskrav? Det finder du, skræddersyet til din situation, på oversigtsiden med alle emner. Og hvis du endnu ikke ved, om registrering gælder for dig, er den gratis hurtiggennemgang det hurtigste første skridt til at få klarhed over det.