mitkä sektorit kuuluvat NIS2-direktiivin piiriin

yksitoista korkean riskin sektoria, seitsemän niistä

NIS2 toimii sektoriluettelon avulla, joka on jaettu kahteen liitteeseen. Liite I luettelee korkeimman riskin sektorit: energia, liikenne, pankkitoiminta, juomavesi, jätevedet, digitaalinen infrastruktuuri, hallinto, terveydenhuolto, avaruusala ja muutama muu. Näillä aloilla toimivat organisaatiot voidaan, niiden koon perusteella, määrätä olennaisiksi toimijoiksi. Liite II luettelee sektorit, joita pidetään tärkeina: posti- ja kuriiritoiminnot, jätehuolto, kemikaalit, elintarvikkeet, tiettyjen tuotteiden valmistus, digitaaliset palveluntarjoajat ja tutkimus. Molemmat liitteet sisältyvät Cyberbeveiligingswet-lakiin, direktiivin Alankomaiden soveltamislakiin.

Sektori ei ole ainoa kriteeri. Näillä aloilla organisaation koko on myös merkitystä — työntekijöiden määrä ja vuosituotto vaikuttavat siihen, katsotaanko jokin olennaiseksi, tärkeäksi vai ei lainkaan kosketuksiksi. Lisäksi on ryhmä, joka ei sisälly liitteisiin mutta joutuu kuitenkin tekemisiin seurauksien kanssa: olennaiselle tai tärkeälle toimijalle toimittavat, jotka saavat asiakkaansa due diligence -velvoitteen kautta tietoturvakyselylomakkeita ja sopimuksellisia vaatimuksia ilman, että ovat itse velvoitettuja. Kuka haluaa tietää mitä tarkkaan ottaen muuttuu kansallisen lain myötä löytää sieltä näiden liitteiden kääntämisen Alankomaiden tekstiin. Rahoituslaitokset ovat poikkeus: ne kuuluvat eri EU-asetuksen piiriin, eivät NIS2:n.

Mistä tämä perustuu: direktiivin liitteet

Sektorijaottelu johtuu Direktiivin (EU) 2022/2555 liitteistä, jotka määrittelevät due diligence -velvoitteen ja ilmoitusvelvoitteen soveltamisalan — 21 artiklan 2 kohdan kymmenen toimenpidettä koskevat kaikkia, jotka kuuluvat tähän soveltamisalaan. Cyberbeveiligingswet omaksuu tämän jaottelun Alankomaiden tilanteeseen, NCSC:n toimiessa lähteenä due diligence -velvoitteen ja ilmoitusvelvoitteen käytännön puolesta antamissa ohjeissa. Joka tämän sektoriluettelon jälkeen haluaa tietää, kuuluuko oma organisaatio todella siihen, voi tutkia sitä edelleen tarkistuksen kautta, kuuluuko yritys NIS2:n piiriin, ja joka epäröi kahden liitteisiin sisältyvän aseman välillä, löytää selityksen olennaisesti toimivan ja tärkeästi toimivan välisestä erosta.