Installationsbranschen omfattas inte som helhet av NIS2-direktivet. Det finns ingen sektor "installation" i de bilagor som direktivet använder för att identifiera väsentliga och viktiga enheter. Ändå ställs frågan allt oftare till installationsföretag, och det har en konkret anledning: många av deras kunder omfattas av åtgärdsskyldigheten, och den skyldigheten tvingar dem att också granska sina leverantörer.
Huruvida NIS2 påverkar ert installationsföretag beror alltså på tre saker tillsammans: sektorn där ni själva verkar, storleken på er verksamhet och frågan om ni genom era kunder kommer in i leveranskedjan för en organisation som omfattas av skyldigheten. Den tredje vägen är ofta den mest sannolik för installörer och förtjänar därför särskild uppmärksamhet.
Sektor: omfattas installation av bilaga I eller II?
Direktivet identifierar sektorer i två bilagor: bilaga I för väsentliga sektorer som energi, dricksvatten, sjukvård och digital infrastruktur, och bilaga II för viktiga sektorer som viss industri och avloppsvattenhantering. Ett allmänt installationsföretag som installerar värme-, el- eller säkerhetssystem står inte i sig själv i dessa bilagor. Det finns tänkbara undantag: en installör som själv är del av ett energinät, eller som sköter kritisk infrastruktur för en identifierad sektor, kan komma närmare den direkta tillämpningsomfattningen. Det är en bedömning från fall till fall, och ingen allmän slutsats för branschen.
Storlek: räknas ni som litet, medelstort eller stort företag?
Direktivet kopplar den direkta skyldigheten till storlek: i grunden handlar det om medelstora och stora företag inom de identifierade sektorerna, med undantag som kan skilja sig mellan sektorer. Många installationsföretag är små eller medelstora när det gäller personal och omsättning, och faller ofta därför också utanför den direkta skyldigheten, även om sektorn skulle ha någon relevans. Storlek är dock aldrig hela svaret; sektor och storlek måste bedömas tillsammans, och den nationella implementeringen kan skilja sig från direktivet på vissa punkter.
Kedjeposition: åtkomst till byggnader och system hos kunder
Här ligger den verkliga uppmärksamhetspunkten för installörer. Ett installationsföretag som arbetar för ett sjukhus, ett energibolag, en vattenmyndighet eller ett stort logistikföretag kommer ofta bokstavligt in: i byggnader, vid elskåp, vid byggautomationssystem, ibland med egen inloggning på kundens system. För kunden som själv omfattas av åtgärdsskyldigheten är just denna typ av åtkomst vad artikel 21 i direktivet fokuserar på: risker som uppstår genom leverantörer och tjänsteleverantörer är en del av organisationens egen säkerhet. Därför får installationsföretag frågelistor, avtalsvillkor eller krav på åtkomstkontroll, även utan att själva omfattas av skyldigheten.
Vad betyder "kedjeberörd" konkret för er?
Kedjeberörd betyder att ni inte själva omfattas av anmälnings- eller registreringsskyldigheten, men att en kund väl kan be er visa hur ni hanterar åtkomst, lösenord, uppdateringar och incidenter. Det sker vanligtvis via en säkerhetsfrågelista eller ett tillägg till avtalet. Den som inte kan presentera något där löper risken att ett uppdrag går till en konkurrent som snabbt och övertygande kan svara. Det är alltså ingen laglig skyldighet som direkt vilar på ert företag, men väl en kommersiell verklighet som följer av kundens skyldighet. läs igenom förklaringen för varje situation ger en bild av hur dessa två vägar — direkt omfattad och kedjeberörd — skiljer sig åt i praktiken.
Vad kan ni göra nu?
Det första steget är att få klarhet om vilken av de tre kategorierna som gäller för ditt företag: väsentlig, viktig, leverantörskedja-berörd eller inte berörd. Det är precis vad NIS2-kontrollen är avsedd för: ett par frågor om sektor, storlek och de kunder du arbetar för, med en indikation och en förklaring till varför. i några få frågor se var ditt företag står kostar ingen konto och ingen avgift. Om resultatet är leverantörskedja-berörd är nästa fråga praktisk: vilka frågelistor och avtalsvillkor kan du förvänta dig, och hur dokumenterar du svaren så att du inte behöver hitta på dem igen varje gång. se de vanliga frågorna om kontrollen och dossien ger där en första överblick, och läs var informationen på plattformen kommer från visar hur resultaten är kopplade till direktivet och den nationella lagen.
Vill du redan nu veta om ditt installationsföretag tenderar mot väsentlig, viktig, leverantörskedja-berörd eller inte berörd? Gör den kostnadsfria NIS2-kontrollen, eller läs först igenom kunskapsbanken för att gå igenom begreppen i din egen takt.