hvilke sektorer falder ind under NIS2-direktivet

Elleve høj-risikosektorer, syv ud over disse

NIS2 arbejder med en liste over sektorer, opdelt over to bilag. Bilag I nævner sektorerne med højeste risiko: energi, transport, finansielle markeder, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning, sundhedsvæsen, rumfart og nogle få andre. Organisationer inden for disse kan, afhængigt af deres størrelse, blive klassificeret som kritiske enheder. Bilag II nævner sektorer, der anses for vigtige: post- og kuriertjenester, affaldshåndtering, kemi, fødevarer, produktion af visse varer, digitale tjenesteudbydere og forskning. Begge bilag reflekteres i den danske cybersikkerhedslovgivning, den danske implementering af direktivet.

Sektor er ikke det eneste kriterium. Inden for disse sektorer tæller også organisationens størrelse — antal medarbejdere og årlig omsætning spiller en rolle for, om noget klassificeres som kritisk, vigtigt eller slet ikke omfattet. Derudover findes der en gruppe, som ikke er nævnt i bilaget, men alligevel påvirkes af konsekvenserne: leverandører til kritiske eller vigtige enheder, som via deres kundes sikkerhedspligt modtager sikkerhedsspørgeskemaer og kontraktuelle krav uden selv at være omfattet af pligten. Hvem der ønsker at vide hvad der præcist ændrer sig gennem den nationale lovgivning finder dér oversættelsen af disse bilag til den danske tekst. Finansielle institutioner udgør en undtagelse: de falder under en anden europæisk forordning og ikke under NIS2.

Grundlaget herfor: bilaget til direktivet

Sektorinddelingen stammer fra bilaget til Direktiv (EU) 2022/2555, som afgrænser omfanget af sikkerhedspligten og indberetningspligten — de ti foranstaltninger fra artikel 21, stk. 2 gælder for dem, der falder inden for dette omfang. Den danske cybersikkerhedslovgivning overtager denne inddeling for den danske situation, hvor det nationale cybersikkerhedscenter er kilder for vejledning om den praktiske side af sikkerhedspligt og indberetningspligt. Hvem der efter denne sektorliste ønsker at vide, om deres egen organisation også faktisk falder ind under det, kan undersøge det nærmere via kontrollen for, om en virksomhed falder under NIS2og hvem der er usikker mellem de to statuser inden for bilaget, finder forklaringen i forskellen mellem en kritisk og en vigtig enhed.