Det korte svar
En del af ICT-tjenesteyderingen er navngivet i NIS2-sektorlisten og kan derved selv være kritisk eller vigtig. Tænk på udbydere af administrerede tjenester og administrerede sikkerhedstjenester, cloudtjenesteudbydere og datacentre. Men de fleste ICT-tjenesteudbydere — den lokale netværksadministrator, den part der vedligeholder servere på afstand, leverandøren af en forretningsapplikation — falder ikke selv under sektorlisten. De bliver ofte påvirket alligevel, og det skyldes, at deres kunde er juridisk forpligtet til det: en kritisk eller vigtig enhed skal nemlig vurdere, hvor sikre dens leverandører er, og en ICT-tjenesteudbyder med adgang til systemer er for denne vurdering en indlysende part.
Om du selv er forpligtet eller påvirkes via leverandørkæden, afhænger således af tre forhold side om side: er din tjenestetype opført på sektorlisten, opnår din organisation den størrelse, der hører til det, og hvad er din faktiske rolle hos de kunder, der selv er forpligtet. De tre faktorer bestemmer svaret sammen, og de fungerer uafhængigt af hinanden — du kan opnå størrelsen uden at sidde i den rigtige sektor, eller præcis sidde i sektoren uden størrelsen.
Hvad sektorlisten siger om ICT-tjenesteyderingen
NIS2-direktivet skelner mellem sektorer af høj kritikalitet og øvrige kritiske sektorer. Inden for digital infrastruktur og digital tjenesteyderingen nævnes blandt andet udbydere af administrerede tjenester (managed service providers) og udbydere af administrerede sikkerhedstjenester (managed security service providers) specifikt, sammen med cloudcomputingtjenester, datacentre og udbydere af onlinemarkeder og søgemaskiner. Den, der falder under en af disse benævnelser, gennemgår samme test som enhver anden sektor: passer den egen tjeneste til beskrivelsen i direktivet, og hvis ja, i hvilken kategori.
Den, der udelukkende leverer software, bygger et websted eller udfører IT-projekter lejlighedsvist uden løbende administration, falder normalt uden for denne specifikke beskrivelse — selvom den præcise afgrænsning stadig er noget for din egen situation, ikke for en almen tommelfingerregel. Hvis du er i tvivl om, hvilken beskrivelse der gælder for din tjenesteyderingen, i et par spørgsmål en første indikation hjælper med det, med en henvisning til den præcise placering i direktivet.
Størrelse tæller lige så tungt som sektoren
En sektor alene er ikke nok til at være kritisk eller vigtig. NIS2 arbejder med størrelseskriteria, der stemmer overens med standardklassificeringen for mellemstore og store virksomheder: antallet af medarbejdere og omsætningen eller balancesummen spiller ind ved bestemmelsen af kategorien. En enmandsvirksomhed, der udbyder netværksadministration til en håndfuld lokale virksomheder, sidder normalt i en anden kategori størrelses-mæssigt end en landsdækkende IT-tjenesteudbyder med hundreder medarbejdere, selvom begge i det væsentlige tilbyder samme tjeneste.
De nationale love, der omsat direktivet — i Nederland Cyberbeveiligingswet — udfolder disse kriterier yderligere, og tilsynsmyndigheden offentliggør praktisk vejledning herom. Vi holder disse kilder opdateret med den dato, hvor vi så dem, så du kan spørge, hvornår en indikation er baseret.
Administration på afstand og adgang til kundesystemer: leverandørkædens placering
Især inden for ICT-tjenesteydelser er positionen i forsyningskæden ofte det afgørende punkt, uafhængigt af sektor og størrelse. Fjernadministration, adgang til kundesystemer, adgangskodehåndtering eller vedligeholdelse af en applikation, der er kritisk for kunden — det er præcis de karakteristika, som en kunde vejer, når vedkommende vurderer sine egne leverandører. En væsentlig eller vigtig enhed skal nemlig kunne dokumentere, at risici i forsyningskæden er kortlagt, og en leverandør med adgang til systemer står højt på denne liste, uanset om leverandøren selv fremgår af sektorlisten.
Dette forklarer, hvorfor mange ICT-tjenesteydere uden selv at være regulerede modtager en spørgeskema om cybersikkerhed eller kontraktuelle krav. Det er ikke en juridisk forpligtelse, der hviler direkte på dem, men et praktisk krav, som kommer gennem kunden — og det kan helt sikkert påvirke kontrakten.
Underleverandører: kæden slutter ikke hos jer
Hvis I selv arbejder med underleverandører — en freelance systemadministrator, en part, der leverer hosting, en ekstern helpdesk — videreformidler I praktisk talt dette spørgsmål. Hvis jeres kunde ønsker at vide, hvordan adgangen til systemer er reguleret, er chancen stor for, at I stiller det samme spørgsmål til jeres egne underleverandører. På denne måde går leverandørvurderingen flere led dybt i kæden, selv hvis ingen i kæden selv falder under sektorlisten.
Hvad det betyder for jeres dossier
Om I selv er reguleret, kun bliver påvirket gennem kæden, eller ingen af delene, bestemmer, hvordan jeres forberedelse ser ud: et komplet styringspligtsgrundlag, målrettede svar på kunders spørgeskemaer, eller foreløbig ingen handling. Et overblik over de ti foranstaltninger, som styringsforpligtelsen forventer af jer, og hvordan de forhold til det, som en kunde spørger om i et spørgeskema, finder I i forklaringen for hvert emne. For spørgsmålet om, hvordan secria.eu vedligeholder kilder, og hvor en indikation er baseret på, er arbejdsmetoden et godt udgangspunkt, og hyppigt stillede spørgsmål om lovens anvendelsesområde er samlet i oversigten med spørgsmål og svar.
Start med NIS2-kontrollen for at se, om jeres tjenesteydelse falder under sektorlisten, hvilken størrelse der er relevant, og hvad jeres position i kæden betyder for jer — gratis og uden konto.