Det korte svar
Metalindustrien og fremstillingsindustrien er ikke nævnt som sådan i bilagene til NIS2-direktivet. Det betyder ikke, at sektoren går fri. En del af fremstillingsindustrien falder under direktivet, nemlig hvor aktiviteten falder sammen med en af de nævnte sektorer — tænk på fremstilling af visse medicinsk udstyr, maskiner, elektrisk udstyr eller køretøjsdele, som er optaget i bilag II som produktionssektor. En almindelig konstruktionsfirma eller en underleverandør inden for pladebejsning er normalt ikke blandt disse.
Om jeres virksomhed præcist falder ind under denne opsomling, kan man ikke sige med et blik: direktivet arbejder med NACE-koder og beskrivelser, der er mere præcise end "metal" eller "fremstillingsindustri" som samlet betegnelse. Derudover spiller størrelse og ketneposition ind, og disse tre faktorer skal lægges op mod hinanden, før der er noget konkluderet. få klarhed over, hvor dit firma står på få spørgsmål giver der en første retning i, uden at du selv skal søge gennem hele teksten.
Sektor: hvilken del af fremstillingsindustrien nævnes faktisk
Bilag I indeholder de sektorer, der betragtes som "væsentlige", såsom energi, drikkevand og transport — de klassiske forsyningsvirksomheder. Bilag II tilføjer sektorer, der betragtes som "vigtige", og en del af fremstillingsindustrien er også her: fremstilling af visse medicinsk udstyr og diagnostik in vitro, computere og elektroniske produkter, elektrisk udstyr, maskiner og apparater, samt motorvoertuger og -dele. En underleverandør, der præcist falder ind under sådan en produktgruppe, kan således godt selv være omfattet af direktivet, selvom virksomheden aldrig har betragtet sig selv som "kritisk infrastruktur".
For virksomheder, der falder uden for denne opsomling — tænk på almindelig metalbearbejdelse, pladebejsning, svejsning eller konstruktionsbygeri uden specifikt nævnt slutprodukt — gælder sektorkravet ikke. Det udelukker dog ikke en pligt via forsyningskæden, og vi vender tilbage til det.
Størrelse: grænsen mellem mellemstort og stort
Hvis sektoren er relevant, tæller virksomhedens størrelse i næste omgang. Direktivet arbejder med den europæiske klassificering i mikro-, små, mellemstore og store virksomheder, baseret på antal medarbeidere kombineret med omsætning eller balansesum. Små og mellemstore virksomheder falder normalt uden for det direkte ansvar, med undtagelser, som den nationale lovgiver kan anvise. De nøjagtige grænser og eventuelle undtagelser findes i direktivteksten og den nationale gennemførelse; vi finder ikke på disse tal her, men de kan findes via den officielle kilde.
For en familiebedrift med femten medarbeidere, der præcist falder ind under en nævnt produktgruppe, er sektoren altså ikke en automatisk pligt — størrelse kan blive afgørende for, at der ikke opstår en direkte forpligtelse. For den større, eksporterende maskinbygger med hundredvis af medarbeidere kan samme sektorklassificering godt føre til en pligt.
Forsyningskædeposition: også uden egen pligt berørt
Det meste af metalindustrien og fremstillingsindustrien bliver ikke berørt via sektorlisten, men via kunden. En væsentlig eller vigtig enhed — et energiselskab, en vandforsyning, en stor producent af medicinsk udstyr — skal under ansvaret for omsorgen også vurdere risiciene i egen forsyningskæde. Det oversættes i praksis til sikkerhedsspørgeskemaer, kontraktvilkår og nogle gange en obligatorisk procedure for indberetning af hændelser til ordregiveren, mens leverandørbedriften selv falder uden for loven. Hvis du som CNC-drejer, svejsefirma eller underdelsleverandør til sådan en part arbejder, får du således konsekvenserne snarere via kontrakten end via selve loven. Hvordan man læser og besvarer sådan et spørgeskema er et separat spørgsmål; forklaringen for hvert emne sætter de mest almindelige situationer op over for hinanden.
Produktionssystemer, der er forbundet til netværket
En grund til, at ordregivere i fremstillingsindustrien netop stiller spørgsmål her, er sammenkoblingen mellem kontorautomatisering og produktion. Maskiner, PLC'er og produktionslinjer, der engang kørte isoleret, er i mange virksomheder nu forbundet med samme netværk som planlægning, fakturering og e-mail. En ordregiver, der vurderer sin egen forsyningskæde, ser ikke kun på kontorsystemer, men også på, hvordan disse produktionssystemer er afskærmet, hvem der har adgang til dem, og hvad der sker ved en fejl eller nedbrud. Det forklarer, hvorfor spørgeskemaer i denne sektor ofte går længere end "har I en adgangskodepolitik" og specifikt spørger om netværkssegmentering mellem kontor og produktion.
Hvad skal man gøre, hvis det stadig er uklart
Fordi sektor, virksomhedsstørrelse og position i forsyningskæden står separat, er det meget muligt, at en metalvirksomhed ikke passer præcist på nogen af de tre, passer på en af dem eller passer på alle tre på samme tid. Et entydigt svar kræver, at man lægger egen NACE-kode, de seneste årstal og et billede af de vigtigste kunder ved siden af hinanden. hvordan resultatet af checken kommer til viser, hvilke kilder der bruges, herunder datoen for deres konsultation. For den egne, endelige situation er en juridisk rådgiver eller den udpegede tilsynsmyndighed fortsat det rette kontaktpunkt.
Ønsker du en første vejledning til din egen virksomhed uden at skulle bruge en halv dag: nis2-checken er gratis og spørger kun om sektor, virksomhedsstørrelse og et par spørgsmål om dine vigtigste kunder. hyppigt stillede spørgsmål om NIS2 og fremstillingsindustrien besvarer en række spørgsmål, der ofte dukker op i denne sektor, inden du selv skal ringe.