Installationsbranchen falder ikke som helhed ind under NIS2-direktivet. Der er ingen sektor "installation" i de bilag, som direktivet bruger til at udpege væsentlige og vigtige enheder. Alligevel får installationsfirmaer spørgsmålet i stigende grad, og det har en konkret grund: mange af deres kunder falder nemlig ind under pligten til at sikre cyber-sikkerhed, og denne pligt forpligter dem til også at se på deres leverandører.
Om NIS2 påvirker jeres installationsfirma, afhænger således af tre ting parallelt: den sektor, I selv arbejder inden for, størrelsen på jeres virksomhed, og spørgsmålet om, hvorvidt I via jeres kunder kommer ind i forsyningskæden for en forpligtet organisation. Den tredje rute er for installatører ofte den mest sandsynlige og fortjener derfor særlig opmærksomhed.
Sektor: falder installation ind under bilag I eller II?
Direktivet udpeger sektorer i to bilag: bilag I for væsentlige sektorer som energi, drikkevand, sundhedsvæsen og digital infrastruktur, og bilag II for vigtige sektorer som bestemt industri og spildevandshåndtering. En almindelig installationsfirma, der anlægger varme, elektricitet eller sikkerhedssystemer, står ikke som sådan i disse bilag. Der er tænkelige undtagelser: en installatør, der selv er del af et energinet, eller som vedligeholder kritisk infrastruktur for en udpeget sektor, kan komme tættere på det direkte anvendelsesområde. Det er en vurdering for hver enkelt situation og ikke et generelt resultat for branchen.
Størrelse: regnes I som mikrovirksomhed, lille, mellemstor eller stor virksomhed?
Direktivet knytter den direkte pligt til størrelse: det handler i første omgang om mellemstore og store virksomheder inden for de udpegede sektorer, med undtagelser der kan variere fra sektor til sektor. Mange installationsfirmaer er efter medarbejderantal og omsætning små eller mellemstore og falder også af den grund ofte uden for den direkte pligt, selv hvis sektoren ellers havde forbindelse. Størrelse alene er dog aldrig hele svaret; sektor og størrelse skal ses sammen, og den nationale gennemførelse kan på nogle punkter afvige fra selve direktivet.
Ketneposition: adgang til bygninger og systemer hos kunder
Her ligger det virkelige opmerksomt punkt for installatører. En installationsfirma, der arbejder for et hospital, et energiselskab, et vandselskab eller en stor logistikfirma, kommer ofte fysisk inden for dørene: i bygninger, ved skabes, ved bygningsautomatiseringssystemer, nogle gange med egen login til kundens systemer. For den kunde, der selv falder under pligten til at sikre cyber-sikkerhed, er netop denne adgang det, som artikel 21 i direktivet ser på: risici, der opstår via leverandører og tjenesteudbydere, hører ind under organisationens egen cyber-sikkerhed. Derfor får installationsfirmaer spørgeskemaer, kontraktbetingelser eller krav om adgangskontrol, selv uden at være forpligtet selv.
Hvad betyder "påvirket af forsyningskæde" konkret for jer?
Påvirket af forsyningskæde betyder, at I selv ikke falder ind under indberetnings- eller registreringspligten, men at en kunde godt kan bede jer om at påvise, hvordan I håndterer adgang, adgangskoder, opdateringer og hændelser. Det sker som regel gennem et spørgeskema om cyber-sikkerhed eller som tillæg til kontrakten. Den, der ikke kan stille noget modsat op, risikerer, at opgaven går til en konkurrent, der kan svare hurtigt og overbevisende. Det er altså ikke en lovpligt, der direkte ligger på jeres virksomhed, men en kommerciel virkelighed, der udspringer af jeres kundes pligt. læs forklaringen pr. situation igennem giver et billede af, hvordan disse to spor — direkte forpligtet og påvirket af forsyningskæde — i praksis adskiller sig.
Hvad kan I gøre nu?
Det første trin er klarhed over, hvilken af de tre kategorier der gælder for jeres virksomhed: væsentlig enhed, vigtig enhed, påvirket gennem forsyningskæden eller ikke påvirket. Præcis det er NIS2-check til for: nogle få spørgsmål om sektor, størrelse og de kunder I arbejder for, med en indikation og en forklaring på hvorfor. få klarhed over, hvor dit firma står på få spørgsmål koster ingen konto og ingen penge. Hvis resultatet er påvirket gennem forsyningskæden, er det næste spørgsmål praktisk: hvilke spørgeskemaer og kontraktbetingelser kan I forvente, og hvordan fastlægger I svarene, så I ikke skal genopfinde dem hver gang. se ofte stillede spørgsmål om checken og dossieren giver der et første indtryk af, og læs hvor informationen på platformen stammer fra viser, hvordan resultaterne er forbundet med direktivet og den nationale lov.
Vil I nu gerne vide, om jeres installationsfirma hælder mod væsentlig enhed, vigtig enhed, påvirket gennem forsyningskæden eller ikke påvirket? Tag den gratis NIS2-check, eller læs først videnbanken igennem for at gennemgå begreberne i jeres eget tempo.