Kuuluuko yritykseni NIS2:n piiriin?
Se, kuuluuko yrityksesi NIS2-direktiivin piiriin, riippuu kahdesta asiasta: toimialasta, jolla olet toiminnassa, ja organisaatiosi koosta. Direktiivi nimeää kahdessa liitteessä toimialoja, joita se pitää yhteiskunnalle tai taloudelle tärkeinä – energiasta ja kuljetuksista digitaaliseen infrastruktuuriin ja jätevedenkäsittelyyn. Jos yrityksesi kuuluu tällaiselle toimialalle ja direktiivin määrittelemään kokoluokkaan, olet todennäköisesti itse oleellinen tai tärkeä yksikkö, johon liittyvät kaikki vastaavat velvollisuudet.
Vastaus ei kuitenkaan lopu siihen. Paljon enemmän yrityksiä jää toimialan ja koon ulkopuolelle, mutta saavat vaatimukset silti: jos ovat velvoitetun yrityksen toimittaja, asentaja tai palvelun tarjoaja. Nämä velvoitetut organisaatiot nimittäin joutuvat arvioimaan omaa toimitusketjuaan, mikä johtaa kyselylomakkeisiin ja sopimuksellisiin vaatimuksiin yrityksille, joiden ei koskaan tarvitse rekisteröityä valvontaviranomaiselle.
Toimiala: liitteet I ja II
Direktiivi luettelee kahdessa liitteessä toimialoja. Liitteessä I mainitaan toimialat, joita pidetään oleellisina: muun muassa energia, kuljetus, pankkipalvelut, juomavesi, digitaalinen infrastruktuuri ja hallinto. Liitteessä II mainitaan toimialat, joita pidetään tärkeinä, kuten posti- ja kuriiritoiminta, jätehuolto, kemianteollisuus, elintarviketeollisuus ja tietyt digitaaliset palvelut. Asennusyritystä, IT-palveluntarjoajaa tai neuvontapalvelua ei yleensä mainita liitteissä nimeltä, mutta kuvaukset ovat nimen vihjeitä laajemmat. Jokainen, joka epäröi, kuuluuko hänen toimintansa johonkin näistä toimialoista, tekee hyvin tehdessään lukea kuvaukset virallisesta tekstistä itsensä, ei pelkästään toimialan nimeä.
Koko: milloin yrityksesi lasketaan mukaan
Toimialan lisäksi direktiivi tarkastelee organisaation kokoa käyttäen tavallista EU-luokitusta pieniin, keskisuuriin ja suuriin yrityksiin henkilöstön sekä liikevaihdon tai taseen perusteella. Useimmilla toimialoilla pätee: mitä suurempi yritys, sitä todennäköisemmin se kuuluu soveltamisalaan. On myös poikkeuksia, joissa koko merkitsee vähemmän – esimerkiksi jos organisaatio on ainoa palveluntarjoaja tietyllä alalla maassa. Nämä poikkeukset on kuvattu tarkasti direktiivissä ja sen perusteella laadittussa kansallisessa laissa; oman tilanteesi tarkkaa arviointia varten ottava on sinä, oikeustieteilijäsi tai valvontaviranomainen.
Suurin ryhmä jää sen ulkopuolelle, mutta saa vaatimukset silti
Direktiivin osa, joka herättää eniten huomiota, käsittelee huolellisuusvelvoitetta: velvoitetuilla organisaatioilla on oltava asianmukaiset toimenpiteet ja niissä on arvioitava myös toimittajansa. Tässä juuri suurin ryhmä yrityksiä törmää asiaan. Asennusyritys, joka huoltaa rakennusten hallintajärjestelmiä energiayhtiölle, siivousyritys, joka työskentelee sairaalalle, tai IT-kumppani kunnalle: mikään heistä ei tarvitse rekisteröityä itse, mutta kaikki voivat saada kyselylomakkeen. Käytännössä tätä kutsutaan usein 'toimitusketjuvaikutukseksi': et itse kuulu direktiivin piiriin, mutta asiakas, joka kuuluu, vaatii silti sinua osoittamaan, että turvallisuutesi on kunnossa.
Se, koskettaako tämä yritystäsi, riippuu siitä, ketkä asiakkaasi ovat ja kuinka tärkeä palvelusi on heille. On vaikea arvioida ilman yleiskatsausta toimialaan, kokoon ja toimitusketjun rooliin yhtä aikaa. Muutaman kysymyksen avulla näet, missä yrityksesi on suurin piirtein, jossa selitys, miksi näin on, ja ehdotus seuraavaksi tehtäväksi asiaksi.
Rahoituslaitokset: erityisasetus
Pankit, vakuutusyhtiöt ja muut rahoituslaitokset eivät kuulu NIS2:n piiriin vaan erillisen digitaalisen operatiivisen joustavuuden asetuksen piiriin, joka on suunnattu erityisesti rahoitussektorille. Jos olet toiminnassa tällä sektorilla, tunnistat sen yleensä jo ensimmäisellä toimialan koskevia intakekysymystä.
Mitä tehdä, jos vastaus ei ole selvä
Toimiala ja koko antavat hyvän ensimmäisen viitteen, mutta tarkka raja 'oleellisen', 'tärkeän', 'toimitusketjuvaikutteisen' ja 'ei vaikutteisen' välillä vaatii räätälöityä lähestymistapaa. Tietopankki, jossa kaikki aiheet tilanteen mukaan antaa kunkin käsitteen osalta selityksen ja viittaa paikan ilmoitukseen virallisessa tekstissä. Jos epäilyksenne säilyy sen lukemisen jälkeen, oikeusneuvoja tai valvontaviranomainen maassanne on oikea osapuoli arvioimaan erityistä tilannettanne; secria.eu ei ilmoita siitä tarkoituksellisesti.
Haluatteko ensin tietää, mistä tämän alustan tiedot tulevat ja miten ne pidetään ajantasaisina? Lue täältä, kuinka ylläpidämme lähteitä. Vastaukset käytännön kysymyksiin alustan käytöstä löytyvät yleisen kysymysten yhteenveto.
Lyhyt vastaus kysymykseen "kuuluuko yritykseni NIS2:n piiriin" saatte siis vertaamalla sektoria, kokoa ja ketjuroolia rinnakkain. Tee ilmainen tarkistus ja lue tietopankki; ne antavat teille jo ilman tiliä ensimmäisen, perusteltu kuvan siitä, missä yrityksenne on.