Det korta svaret
En del av ICT-tjänstleveransen är namngivna i NIS2:s sektorlista och kan därför själv vara väsentlig eller viktig. Tänk på leverantörer av förvaltade tjänster och förvaltade säkerhetstjänster, molnleverantörer och datacenter. Men de flesta ICT-tjänsteleverantörer — den lokala nätverksadministratören, den part som underhåller servrar på distans, leverantören av en företagsapplikation — omfattas inte själv av sektorlistan. De påverkas ofta ändå, och det beror på att deras kund är lagligt skyldig till det: en väsentlig eller viktig enhet måste nämligen bedöma hur säker sina leverantörer är, och en ICT-tjänsteleverantör med åtkomst till system är för sådan bedömning en naturlig part.
Huruvida ni själv är skyldiga eller påverkas via leveranskedjan beror alltså på tre saker tillsammans: är er tjänsttyp med på sektorlistan, uppnår er organisation den storlek som hör till det, och vilken är er faktiska roll hos de kunder som själva är skyldiga. Dessa tre faktorer avgör svaret tillsammans, och de fungerar oberoende av varandra — ni kan uppnå storleken utan att sitta i rätt sektor, eller sitta precis i sektorn utan storleken.
Vad sektorlistan säger om ICT-tjänstleverans
NIS2-direktivet skiljer mellan sektorer med höga kritikalitetskrav och övriga kritiska sektorer. Inom digital infrastruktur och digital tjänstleverans är bland annat leverantörer av förvaltade tjänster (managed service providers) och leverantörer av förvaltade säkerhetstjänster (managed security service providers) särskilt nämnda, tillsammans med molntjänster, datacenter och leverantörer av onlinemarknadplatser och sökmotorer. Den som faller under någon av dessa benämningar genomgår samma test som alla andra sektorer: motsvarar den egna tjänsten beskrivningen i direktivet, och om så är fallet, i vilken kategori.
Den som enbart levererar mjukvara, bygger en webbplats eller utför IT-projekt tillfälligt utan löpande förvaltning omfattas vanligen inte av denna specifika beskrivning — men det exakta gränsdragandet är något för er egen situation, inte för en allmän tumregel. Om ni är osäker på vilken beskrivning som gäller för er tjänstleverans är det en av de punkter där ett paar frågor en första indikation bidrar med, med en hänvisning till den exakta platsen i direktivet.
Storlek väger lika tungt som sektorn
En sektor ensamt räcker inte för att vara väsentlig eller viktig. NIS2 arbetar med storlekskriterier som överensstämmer med standardklassificeringen för medelstora och stora företag: antalet anställda och omsättningen eller balansräkningssumman spelar roll vid bestämmandet av kategorin. Ett enmansföretag som erbjuder nätverksadministration till en handfull lokala företag befinner sig storlek-mässigt vanligen i en annan kategori än en rikstäckande IT-tjänsteleverantör med hundratals anställda, även om båda i huvudsak erbjuder samma tjänst.
De nationella lagar som omvandlar direktivet — i Sverige motsvarande lagstiftning — utvecklar dessa kriterier vidare, och tillsynsmyndigheten publicerar praktisk vägledning därtill. Vi håller dessa källor uppdaterade med datumet när vi såg dem, så att ni kan fråga när en indikation baseras.
Fjärrhantering och åtkomst till kundsystem: leverandskedjeposition
Just för ICT-tjänsteleveranter är kedjepositionen ofta den avgörande faktorn, oberoende av sektor och storlek. Fjärrhantering, åtkomst till kundnätverk, lösenordshantering eller underhållet av en applikation som är kritisk för kunden — det är just dessa egenskaper som en kund väger in när denna bedömer sina egna leverantörer. En väsentlig eller viktig enhet måste nämligen kunna visa att risker i försörjningskedjan är kartlagda, och en leverantör med åtkomst till system står högt på den listan, oavsett om leverantören själv förekommer på sektorlistan.
Det förklarar varför många ICT-tjänsteleveranter utan att själva vara bundna av skyldigheter ändå får en säkerhetsfrågeformulär eller ett kontraktskrav på sin skrivbord. Det är ingen juridisk skyldighet som vilar direkt på dem, utan ett praktiskt krav som kommer genom kunden — och som verkligen kan påverka kontraktet.
Underleverantörer: kedjan slutar inte hos er
Den som själv arbetar med underleverantörer — en frilansande systemadministratör, en part som tillhandahåller hosting, en extern helpdesk — lämnar denna fråga vidare i praktiken. Om er kund vill veta hur åtkomst till system är reglerad, finns det god anledning att ställa samma fråga till era egna underleverantörer. På så sätt sträcker sig kedjegenomgången flera led djupt, även om ingen i kedjan själv faller under sektorlistan.
Vad detta betyder för er dokumentation
Huruvida ni själva är bundna av skyldigheter, endast påverkas genom kedjan, eller inte påverkas alls, avgör hur er förberedelse ser ut: en fullständig dokumentation över åtgärder för att uppfylla skyldigheterna, riktade svar på kundernas frågeformulär, eller ingen åtgärd för närvarande. En sammanfattning av de tio åtgärder som skyldigheterna förväntar av er, och hur dessa förhåller sig till vad en kund frågar om i ett frågeformulär, hittar ni i förklaringen per ämne. För frågan om hur secria.eu håller källorna uppdaterade och vad en indikation är baserad på, är arbetssättet en bra utgångspunkt, och vanliga frågor om lagens tillämpningsområde är samlade i sammanfattningen med frågor och svar.
Börja med nis2-kontrollen för att se om er tjänsteleverans faller under sektorlistan, vilken storlek som väger in och vad er position i kedjan betyder för er — gratis och utan konto.