Omfattes mitt selskap av NIS2?

## Faller mitt selskap under NIS2? Om selskapet ditt selv faller under NIS2-direktivet, avhenger av to ting: sektoren du er aktiv i og størrelsen på organisasjonen din. Direktivet peker ut i to vedlegg sektorer som det anser som viktige for samfunnet eller økonomien, fra energi og transport til digital infrastruktur og avfallshåndtering. Hvis selskapet ditt faller innenfor en slik sektor OG oppfyller størrelsen direktivet bruker, er du sannsynligvis selv en 'essentiell' eller 'viktig' enhet, med alle pliktene det medfører. Men svaret stopper ikke der. Mange flere selskaper faller utenfor sektor og størrelse, og får likevel kravene: som leverandør, installatør eller tjenesteleverandør for et selskap som faktisk er pliktig. De pliktige organisasjonene må nemlig vurdere sin egen verdikjede, og det oversetter seg til spørreskjemaer og kontraktskrav hos selskaper som selv aldri trenger å registrere seg hos en tilsynsmyndighet. ### Sektor: vedlegg I og II Direktivet opplistier sektorer i to vedlegg. Vedlegg I nevner sektorer som ansees som essensielle: blant annet energi, transport, bankwesen, drikkevann, digital infrastruktur og offentlig forvaltning. Vedlegg II nevner sektorer som ansees som viktige, som post- og kuriertjenester, avfallshåndtering, kjemi, mat og enkelte digitale tjenester. En installasjonsvirksomhet, en IT-tjenesteleverandør eller et rådgivningsbyrå står vanligvis ikke oppført ved navn i disse vedleggene, men beskrivelsene er bredere enn hva navnet tilsier. Den som er usikker på om sin virksomhet faller under en av disse sektorene, gjør lurt i å lese beskrivelsen i den offisielle teksten selv, ikke bare sektornavn. ### Størrelse: når selskapet ditt teller med I tillegg til sektoren ser direktivet på størrelsen på organisasjonen, ved bruk av den vanlige EU-klassifiseringen av små, mellomstore og store foretak basert på antall ansatte og omsetning eller balansesummen. For de fleste sektorer gjelder: jo større bedriften, desto større sannsynlighet for å falle innenfor rekkevidden. Det finnes også unntak hvor størrelse betyr mindre, for eksempel når en organisasjon er den eneste tilbyderen av en bestemt tjeneste i et land. Disse unntakene er nøye beskrevet i direktivet og i den nasjonale loven som er basert på det; en nøyaktig vurdering for din egen situasjon er opp til deg selv, din jurist eller tilsynsmyndigheten. ### Den største gruppen faller utenfor, og får kravene likevel Delen av direktivet som tiltrekker seg mest oppmerksomhet, handler om zorgplicht: pliktige organisasjoner må treffe passende tiltak og også vurdere sine leverandører i denne forbindelse. Det er nettopp der den største gruppen selskaper kommer inn. En installasjonsvirksomhet som vedlikeholder bygningsstyrings­systemer for et energiselskap, et rengøringsfirma som arbeider for et sykehus, eller en IT-partner for en kommune: ingen av dem trenger å registrere seg selv, men alle kan motta et spørreskjema. Det kalles ofte i praksis 'verdikjede-berørt': du faller ikke selv under direktivet, men en kunde som gjør det, ber deg likevel om å vise at sikkerheten din er i orden. Om det påvirker selskapet ditt, avhenger av hvem kundene dine er og hvor viktig tjenesten din er for dem. Det er vanskelig å vurdere uten oversikt over sektor, størrelse og verdikjederolle på samme tid. [[LINK:/nis2-check|I noen få spørsmål ser du hvor selskapet ditt omtrent står]], med en forklaring på hvorfor og et forslag til neste skritt. ### Finansielle institusjoner: en separat ordning Banker, forsikringsselskaper og andre finansielle institusjoner faller ikke under NIS2 men under en separat forordning om digital operasjonell motstandskraft, rettet spesifikt mot finanssektoren. Den som er aktiv i denne sektoren, gjenkjenner det vanligvis allerede ved det første spørsmålet om sektor. ### Hva du skal gjøre hvis svaret ikke er klart Sektor og størrelse sammen gir en god første indikasjon, men den eksakte grensen mellom 'essentiell', 'viktig', 'verdikjede-berørt' og 'ikke berørt' krever skreddersøm. [[LINK:/onderwerpen|Kunnskapsbanken med alle emner per situasjon]] gir per begrep en forklaring og peker til stedet i den offisielle teksten. Hvis du fortsatt er usikker etter å ha lest det, er en jurist eller tilsynsmyndigheten i ditt land den rette parten til å vurdere din konkrete situasjon; secria.eu uttaler seg bevisst ikke om det. Vil du først vite hvor informasjonen på denne plattformen kommer fra og hvordan den holdes aktuell? [[LINK:/hoe-het-werkt|Les her hvordan vi håndterer kilder]]. Svar på praktiske spørsmål om bruken av plattformen finner du i [[LINK:/veelgestelde-vragen|oversikten med ofte stilte spørsmål]]. Det korte svaret på 'faller mitt selskap under NIS2' får du altså ved å legge sektor, størrelse og verdikjederolle ved siden av hverandre. Gjør den gratis kontrollen og les kunnskapsbanken; de gir deg uten konto allerede et første, velbegrunnett bilde av hvor selskapet ditt står.