Registrera hos tillsynsmyndigheten: hur går det till?
Organisationer som klassificeras som kritiska eller viktiga enligt NIS2-direktivet måste registrera sig hos den nationella tillsynsmyndigheten. Detta sker via en portal som tillsynsmyndigheten upprättar för detta ändamål, med uppgifter om er organisation, era kontaktpersoner och de tjänster ni tillhandahåller. Ni kommer inte att få något brev som påminner er om detta: skyldigheten att registrera sig vilar på organisationen själv, inte på tillsynsmyndigheten att spåra er.
Detta överraskar många ledningar. Vid andra skyldigheter — ett tillstånd, en årlig deklaration — får ni ofta ett meddelande från myndigheten själv. Vid registreringsplikten enligt cyberförordningen fungerar det tvärtom: tillsynsmyndigheten vet initialt inte vilka organisationer som omfattas av lagen och är därför beroende av er egen bedömning och åtgärd.
Vilka uppgifter efterfrågas
Registreringen frågar vanligtvis efter identifierande uppgifter om organisationen, såsom namn, organisationsnummer och adress, kompletterat med den sektor och aktivitet genom vilka ni omfattas av lagen. Dessutom efterfrågas en eller flera kontaktpersoner som tillsynsmyndigheten kan nå, med namn, telefonnummer och e-postadress — dessa är ofta andra personer än den vanliga företagskontaktpersonen, eftersom det handlar om tillgänglighet vid en incident. Även de nätverks- och informationssystem eller tjänster som är relevanta för klassificeringen som kritisk eller viktig, och ibland de medlemsstater där ni tillhandahåller tjänster, ingår i den bild som tillsynsmyndigheten vill få.
De exakta fälten och portalsformulärens utformning varierar per land, eftersom varje medlemsstat implementerar direktivet i sin egen nationella lagstiftning och tillsynsmyndigheten själv upprättar portalen. Det som efterfrågas i Sverige behöver alltså inte motsvaras exakt av det en tillsynsmyndighet i ett annat land frågar ett dotterbolag där.
Varför det inte kommer något brev
Registreringsplikten är utformad som en skyldighet för organisationen, inte som en inbjudan från staten. Tillsynsmyndigheten har inte från början en komplett lista över vem som är aktiv var och under vilken tröskel — denna information måste komma från branschen själv. Det liknar hur en organisationsnummernregistrering eller en momsdeklaration fungerar: ansvaret att handla i tid vilar på företagaren, även om ingen skickar en påminnelse.
För många små och medelstora företag som påverkas genom leverantörskedjan är detta i alla fall inte aktuellt: endast kritiska och viktiga entiteter själva har registreringsskyldighet. Företag som endast får en säkerhetsfrågeformulär från en köpare som omfattas av lagen registrerar sig inte själva hos tillsynsmyndigheten. Huruvida er organisation tillhör första eller andra gruppen är inte alltid omedelbar klar; i några få frågor ser du var din organisation står ger där en första vägledning, med en förklaring per resultat.
När ska man registrera sig
Nationell lag bestämmer inom vilken tid och från vilken tidpunkt en organisation måste registrera sig efter att ha klassificerades som kritisk eller viktig. Dessa tidsfrister finns i den nationella implementeringen av direktivet och på tillsynsmyndighetens egen webbplats, och de kan ändras när lagstiftningen utvecklas vidare. För aktuell status bör ni kontakta den behöriga tillsynsmyndigheten eller en juridisk rådgivare, inte en allmän artikel — en webbplatsuppdatering eller ett tillkännagivande från tillsynsmyndigheten är vägledande på denna punkt, inte ett datum som är lagrat någonstans.
Vad secria.eu gör och inte gör vid registrering
Plattformen hjälper till att förbereda texten och data som du behöver för att fylla i registreringsformuläret: vilka kontaktpersoner du måste tillhandahålla, vilken sektor- och aktivitetsbeskrivning som motsvarar hur tillsynsmyndigheten kategoriserar, och vilken dokumentation som ligger till grund för kvalifikationen. Det gör den uttryckligt inte: att lämna in ansökan för din räkning. Du måste själv lämna in via din tillsynsmyndighets portal; secria.eu förbereder texten, du skickar in den. Hur denna förberedning genomförs i detalj och vilka källor som används förklaras på sidan om hur informationen tas fram.
Osäkerhet om din egen situation
Huruvida och när registrering är aktuell för din organisation beror på den sektor du är verksam i, storleken på din organisation och den nationella lag som gäller för dig. Det är inte en fråga som en enskild allmän artikel kan besvara för just din situation; för det är din behörig tillsynsmyndighet eller en jurist rätt kontaktperson. Vanliga praktiska frågor om registrering, anmälningsplikt och leverantörers roll är samlade på sidan med vanliga frågor.
Vill du först få en översikt över alla ämnen kring direktiv (EU) 2022/2555 och den nationella cybersäkerhetslag, från sektorsindelning till de tio riskkontrollåtgärder? Det hittar du, sorterat efter situation, på översiktssidan med alla ämnen. Och om du ännu inte vet om registrering är aktuell för dig, är den kostnadsfria snabbkontroll det snabbaste första steget för att få klarhet i det.