Du har läst någonstans att sanktioner enligt NIS2-direktivet kan uppgå till tio miljoner euro eller två procent av omsättningen, och du undrar om det kan drabba dig. Det korta svaret: dessa belopp finns verkligen i direktivet, men de är avsedda för väsentliga och viktiga enheter — organisationer som själva faller under NIS2, med en åtgärdsskyldighet, en registreringsskyldighet och en anmälningsskyldighet. Om ditt företag inte omfattas men levererar till en sådan organisation, är en sanktion inte den risk som bör få dig att vakna upp på nätterna.
Den risk som du istället kan möta tidigare och snabbare är mer praktisk: en köpare som själv är åtgärdsskyldig måste bedöma sina leverantörer. Om du inte kan svara på frågorna eller inte kan visa att du uppfyller avtalsvillkoren, är följden vanligtvis inte en sanktion utan förlusten av kontraktet. Den processen tar ofta veckor, inte år.
För dem som sanktionen verkligen är avsedd för
Direktivet riktar tillsynen mot de organisationer som själva är skyldiga: de väsentliga och viktiga enheterna från sektorerna i bilaga I och II. För dem fastställer den nationella lagen — i Sverige denna lag — hur tillsynsmyndigheten agerar om åtgärdsskyldigeten eller anmälningsskyldigeten inte har efterlevts. Om du inte själv är skyldig men levererar till en sådan enhet, är du ingen part i det tillsynsförfarandet. Du märker direktivet väl, men genom dina köpares avtalsvillkor, inte genom ett sanktionsbeslut på ditt eget namn. Om du är osäker på om din organisation själva omfattas av lagen, kan det klargöras med några frågor via kontrollen som kartlägger din situation i ett par steg.
Vad direktivet anger för belopp
Direktivet angivet maximibeloppen för väsentliga och viktiga enheter, med ett högre tak för väsentliga enheter än för viktiga. Det handlar alltid om det högsta av ett fast belopp eller en procentsats av den globala årliga omsättningen — alltså inte automatiskt det fulla beloppet vid varje överträdelse. Hur tillsynsmyndigheten väger olika faktorer i ett konkret fall, och vilket belopp som faktiskt ålägger, är inte fastställt i direktivet och ligger till tillsynsmyndighetens bedömning. Vi gör medvetet ingen prognos om detta; vad direktivet och den nationella lagen säger, kan du läsa i den officiella texten och tillsynsmyndighetens publikationer.
Varför kontraktet kommer före sanktionen
Ett sanktionsförfarande börjar vanligtvis först efter signaler, utredning och en möjlighet att åtgärda — det tar tid. En inköpsavdelning som skickar en säkerhetsfrågelista väntar inte på det. Om svaret saknas eller är ofullständigt ges uppgiften ofta helt enkelt till en annan leverantör, eller får du en återställningsperiod som du själv måste fylla. Det gör samtalet med din köpare mer brådskande för de flesta små och medelstora företag än frågan om en sanktion någonsin kommer in i bilden. Läs mer om vad som ligger bakom en sådan frågelista i översikten över ämnen som är utredda för varje situation.
Vad detta betyder om du är kedjeberörd
Om du inte själv är skyldig men är leverantör till en skyldig organisation, är frågan inte om en sanktion hotar, utan om du kan visa att du har de begärda åtgärderna på plats. Det handlar om bevis, en ansvarig per åtgärd och ett svar som du inte behöver hitta på på nytt varje gång. Den som väl har dokumenterat detta besvarar nästa frågelista med mycket mindre arbete. Vanliga frågor om vad som får och inte får krävas av dig finns samlade på sidan med vanliga frågor.
Om du själv är väsentlig eller viktig, räknas sanktionen som yttersta spö bakom dörren, men själva åtgärdsskyldigeten är det faktiska arbetet: vidta åtgärder, dokumentera och kunna visa dem. Hur denna process är uppbyggd och var informationen på denna webbplats kommer från förklaras på sidan som förklarar hur plattformen fungerar.
Vill du veta om din organisation själv omfattas av NIS2, eller påverkas du bara genom en köpare? Gör den kostnadsfria NIS2-kontrollen, eller läs igenom kunskapsbanken först — båda är tillgängliga utan konto.