Omfattes mitt selskap av NIS2?
To ting bestemmer det: sektoren din og størrelsen din. Men det er en tredje gruppe som faller utenfor og får kravene likevel.
Sektor og størrelse, i den rekkefølgen
NIS2 er et europeisk direktiv om sikkerhet i nett- og informasjonssystemer. Det utpeker atten sektorer, fordelt på to vedlegg. Vedlegg I er sektorene med høy kritikalitet: energi, transport, helsevesen, drikkevann, digital infrastruktur, offentlig forvaltning. Vedlegg II er de øvrige kritiske sektorene, som post, avfall, kjemi, mat, industri og digitale tilbydere.
Hvis sektoren din ikke er listet opp, faller du ikke under. Hvis den er det, teller størrelsen din. Fra omtrent femti ansatte eller ti millioner euro i omsetning er du medium og pliktene gjelder. Er du større enn tohundredfemti ansatte eller femti millioner omsetning og befinner du deg i vedlegg I, er du en essensiell enhet og er underlagt forhåndskontroll. Resten er viktig enhet: samme zorgplicht, men kontroll bare hvis det er grunn til det.
Den tredje gruppen, og den er størst
De fleste organisasjoner som får med seg dette, faller ikke under selv. De leverer til noen som faller under. Direktivet forplikter nemlig organisasjoner som er pliktig til å vurdere sikkerheten hos sine leverandører, og det gjør de med spørreskjemaer og kontraktskrav.
For deg betyr det ingen registreringsplikt, ingen meldeplikt og ingen bot. Men vel en kunde som vil ha svar, og som legger kontrakten et annet sted hvis du ikke kan gi det. I praksis rammer det flere bedrifter og raskere enn loven selv.
Unntak du ikke må gå glipp av
Selv under terskelen kan du være pliktig. Er du den eneste tilbyder av en tjeneste i en medlemsstat, eller ville avbrudd i tjenesten din få store samfunnsmessige konsekvenser, kan tilsynsmyndigheten din likevel utpeke deg. Tilbydere av offentlig elektronisk kommunikasjon og av tillitsbaserte tjenester faller under uavhengig av størrelse.
Det motsatte gjelder også. Banker og finansmarkeder faller i praksis under DORA, digital-motstandsdiktatet for finanssektoren. Det går som særskilt regulering foran. Gjenkjenner du deg i det, ber du om råd om det.
Ofte stilte spørsmål
Får jeg beskjed hvis jeg faller under?
Nei, og det er fellen. Det kommer ikke brev. Du må finne det ut selv og registrere deg selv hos tilsynsmyndigheten.
Hva hvis jeg vurderer det feil?
Å feilaktig tro at du ikke faller under er det dyreste scenarioet: gebyrene går opp til ti millioner euro eller to prosent av den verdensomfattende omsetningen, og ledelsen er personlig ansvarlig. Hvis du er usikker, antar du at du gjør det og lar det bli sjekket.
Gjelder dette også for min utenlandske avdeling?
Direktivet gjelder i hele EU, men pliktene oppstår gjennom den nasjonale loven i hvert land, og den er ikke like langt alle steder. Du registrerer deg i landet hvor du er etablert; ved flere etableringsplasser kan det være flere steder.
Dette er informasjon, ikke råd om din egen situasjon. secria.eu vurderer ikke organisasjonen din og gir ingen sikkerhet.