Falder mit firma under NIS2?
Om hvorvidt dit dine virksomhed selv falder under Direktiv (EU) 2022/2555, afhænger af to ting: den sektor, du er aktiv i, og størrelsen på din organisation. Direktivet udpeger i to bilag sektorer, som det finder vigtige for samfundet eller økonomien, fra energi og transport til digital infrastruktur og affaldsvandshåndtering. Hvis din virksomhed ligger inden for sådan en sektor og inden for den størrelse, som direktivet anvender, er du formodentlig selv en 'vigtig enhed' eller 'kritisk enhed' med alle tilhørende pligter.
Men svaret stopper ikke der. Langt flere virksomheder falder uden for sektor og størrelse, og får kravene alligevel: som leverandør, installatør eller tjenesteudbyder for en virksomhed, der er underlagt pligter. Disse pligtige organisationer skal nemlig vurdere deres egen forsyningskæde, og det omsættes til spørgeskemaer og kontraktuelle krav hos virksomheder, der aldrig selv behøver at registrere sig hos en tilsynsmyndighed.
Sektor: bilag I og II
Direktivet opregner sektorer i to bilag. Bilag I nævner sektorer, som betragtes som kritiske: blandt andet energi, transport, bankvirksomhed, drikkevand, digital infrastruktur og offentlig forvaltning. Bilag II nævner sektorer, som betragtes som vigtige, såsom post- og kurerservices, affaldshåndtering, kemikalier, fødevarer og visse digitale tjenester. En installatørvirksomhed, en it-tjenesteudbyder eller et rådgivningsbureau står normalt ikke med navn i disse bilag, men beskrivelserne er bredere end navnet antyder. Hvis du er i tvivl om, hvorvidt dine aktiviteter falder under en af disse sektorer, er det godt at læse beskrivelsen i den officielle tekst selv, ikke kun sektorbetegnelsen.
Størrelse: hvornår tæller din virksomhed med
Ud over sektoren kigger direktivet på størrelsen på organisationen med den sædvanlige EU-klassificering af små, mellemstore og store virksomheder på grundlag af personale og omsætning eller balancesummen. For de fleste sektorer gælder: jo større virksomheden er, desto hurtigere falder den inden for anvendelsesområdet. Der findes også undtagelser, hvor størrelsen betyder mindre, for eksempel når en organisation er den eneste udbyder af en bestemt tjeneste i et land. Disse undtagelser er præcist beskrevet i direktivet og i den nationale lov, der er baseret på det; en præcis vurdering af din egen situation er op til dig selv, din jurist eller tilsynsmyndigheden.
Den største gruppe falder uden for og får kravene alligevel
Den del af direktivet, der tiltrækker mest opmærksomhed, handler om risikostyringsforpligtelsen: pligtige organisationer skal træffe passende foranstaltninger og vurdere deres leverandører i denne sammenhæng. Det er præcis det, som den største gruppe virksomheder må forholde sig til. En installatørvirksomhed, der vedligeholder bygningsstyringssystemer for et energiselskab, en rengøringsvirksomhed, der arbejder for et hospital, eller en it-partner for en kommune: ingen af dem behøver selv at registrere sig, men de kan alle få et spørgeskema til behandling. Det kaldes i praksis ofte 'påvirket gennem forsyningskæden': du falder ikke selv under direktivet, men en kunde, der gør det, spørger dig alligevel om at dokumentere, at din sikkerhed er i orden.
Om det gælder din virksomhed, afhænger af, hvem dine kunder er, og hvor vigtig din tjeneste er for dem. Det er vanskeligt at vurdere uden en oversigt over sektor, størrelse og rolle i forsyningskæden på samme tid. Med nogle få spørgsmål ser du, hvor din virksomhed cirka befinder sig, med en forklaring på hvorfor og et forslag til næste trin.
Finansielle institutioner: en særlig ordning
Banker, forsikringsselskaber og andre finansielle institutioner falder ikke under Direktiv (EU) 2022/2555 men under en særskilt forordning om digital operationel resiliens rettet specifikt mod finanssektoren. Hvis du er aktiv i denne sektor, opdager du det normalt allerede ved det første spørgsmål om sektoren.
Hvad skal du gøre, hvis svaret ikke er klart
Sektor og størrelse tilsammen giver en god første indikation, men den nøjagtige grænse mellem 'kritisk', 'vigtig', 'påvirket gennem forsyningskæden' og 'ikke påvirket' kræver skræddersyet arbejde. Vidensbanken med alle emner pr. situation giver for hvert begreb en forklaring og henviser til stedet i den officielle tekst. Hvis du stadig er i tvivl efter at have læst det, er en jurist eller tilsynsmyndigheden i dit land den rette part til at vurdere din specifikke situation; secria.eu udtaler sig bevidst ikke herom.
Vil du først vide, hvor oplysningerne på denne platform kommer fra, og hvordan de holdes aktuelle? Læs her, hvordan vi holder styr på kilder. Svar på praktiske spørgsmål om brugen af platformen finder du i oversigten over ofte stillede spørgsmål.
Det korte svar på 'falder mit virksomhed ind under NIS2' får du således ved at lægge sektor, størrelse og ketenrolle ved siden af hinanden. Udfør den gratis kontrol og læs videnbanken; de giver dig allerede uden konto et første, dokumenteret billede af, hvor din virksomhed står.