Falder mit firma under NIS2?

## Falder min virksomhed ind under NIS2? Om din virksomhed selv falder ind under NIS2-direktivet, afhænger af to ting: den sektor, du er aktiv inden for, og størrelsen på din organisation. Direktivet angiver i to bilag sektorer, som det finder vigtige for samfundet eller økonomien, fra energi og transport til digital infrastruktur og spildevandshåndtering. Hvis din virksomhed falder inden for sådan en sektor og inden for den størrelse, som direktivet anvender, er du formentlig selv en 'væsentlig' eller 'vigtig' enhed med alle deraf følgende forpligtelser. Men svaret stopper ikke der. Mange flere virksomheder falder uden for sektor og størrelse og får kravene alligevel: som leverandør, installatør eller tjenesteyder for en virksomhed, der er underlagt bestemmelserne. De pligtige organisationer skal nemlig selv vurdere deres egen forsyningskæde, og det oversætter sig til spørgeskemaer og kontraktvilkår over for virksomheder, der selv aldrig behøver at registrere sig hos en tilsynsmyndighed. ### Sektor: bilag I og II Direktivet opregner sektorer i to bilag. Bilag I nævner sektorer, der betragtes som væsentlige: blandt andet energi, transport, bankvirksomhed, drikkevand, digital infrastruktur og offentlig forvaltning. Bilag II nævner sektorer, der betragtes som vigtige, såsom post- og kuriertjenester, affaldsbehandling, kemikalier, fødevarer og visse digitale tjenester. En installationsvirksomhed, en it-tjenesteudbyder eller et rådgivningsbureau figurerer normalt ikke med navn i disse bilag, men beskrivelserne er bredere end navnene indikerer. Den, der er usikker på, om hans aktivitet falder ind under en af disse sektorer, gør sig selv en tjeneste ved at læse beskrivelsen i den officielle tekst selv, ikke kun sektornavnet. ### Størrelse: hvornår din virksomhed tæller med Foruden sektoren ser direktivet på organisationens størrelse efter den almindelige EU-klassificering af små, mellemstore og store virksomheder på grundlag af personale og omsætning eller balancetotal. For de fleste sektorer gælder: jo større virksomheden, desto mere sandsynligt falder den inden for rammerne. Der findes også undtagelser, hvor størrelse betyder mindre, for eksempel når en organisation er den eneste leverandør af en bestemt tjeneste i et land. Disse undtagelser er præcist beskrevet i direktivet og i den nationale lov, der er baseret på det; en nøjagtig vurdering af din egen situation tilhører dig selv, din jurist eller tilsynsmyndigheden. ### Den største gruppe falder uden for og får kravene alligevel Delen af direktivet, der får mest opmærksomhed, handler om forsvarlighed: pligtige organisationer skal træffe passende foranstaltninger og også vurdere deres leverandører ved det. Det er præcis, hvor den største gruppe af virksomheder møder det. En installationsvirksomhed, der vedligeholder bygningsstyringssystemer for et energiselskab, en rengøringsvirksomhed, der arbejder for et hospital, eller en it-partner for en kommune: ingen af dem behøver at registrere sig selv, men alle kan få et spørgeskema. Det kaldes i praksis ofte 'kæde-påvirket': du falder ikke selv ind under direktivet, men en kunde, der gør det, spørger dig alligevel om at påvise, at din sikkerhed er på plads. Om det gælder for din virksomhed, afhænger af, hvem dine kunder er, og hvor vigtig din tjeneste er for dem. Det er vanskeligt at vurdere uden overblik over sektor, størrelse og kæderol samtidig. [[LINK:/nis2-check|I et par spørgsmål ser du, hvor din virksomhed nogenlunde står]], med en forklaring på hvorfor og et forslag til næste skridt. ### Finansielle institutioner: en særlig ordning Banker, forsikringsselskaber og andre finansielle institutioner falder ikke ind under NIS2 men under en særskilt forordning om digital operationel modstandskraft rettet specifikt mod finanssektoren. Den, der er aktiv i denne sektor, genkender det normalt allerede ved første intake-spørgsmål om sektoren. ### Hvad der skal gøres, hvis svaret ikke er klart Sektor og størrelse sammen giver en god første indikation, men den nøjagtige grænse mellem 'væsentlig', 'vigtig', 'kæde-påvirket' og 'ikke påvirket' kræver skræddersyet arbejde. [[LINK:/onderwerpen|Videnbanken med alle emner pr. situation]] giver pr. begreb en forklaring og henviser til kildestedet i den officielle tekst. Hvis du stadig er usikker efter at have læst det, så er en jurist eller tilsynsmyndigheden i dit land den rette part til at vurdere din specifikke situation; secria.eu udtaler sig bevidst ikke derom. Vil du først vide, hvor informationen på denne platform kommer fra, og hvordan den holdes aktuelt? [[LINK:/hoe-het-werkt|Læs her, hvordan vi vedligeholder kilder]]. Svar på praktiske spørgsmål om brugen af platformen finder du i [[LINK:/veelgestelde-vragen|oversigten over hyppigt stillede spørgsmål]]. Det korte svar på 'falder min virksomhed ind under NIS2' får du således ved at lægge sektor, størrelse og kæderol ved siden af hinanden. Lav den gratis check og læs videnbanken; de giver dig allerede uden konto et første, underbygget billede af, hvor din virksomhed står.