Det korta svaret
Metall- och tillverkningsindustrin är inte nämnda som sådan i bilagorna till NIS2-direktivet. Det betyder inte att sektorn är undantagen. En del av tillverkningsindustrin omfattas av direktivet, nämligen där aktiviteten sammanfaller med en av de nämnda sektorerna — tänk på tillverkning av vissa medicinska hjälpmedel, maskiner, elektrisk utrustning eller fordondelar, som är upptagna i bilaga II som produktionssektor. Ett vanligt konstruktionsföretag eller en underleverantör inom plåtarbete är vanligtvis inte en del av detta.
Huruvida ert företag exakt omfattas av denna förteckning är inte möjligt att säga på ett ögonkast: direktivet arbetar med NACE-koder och beskrivningar som är mer preciserade än "metall" eller "tillverkningsindustri" som samlingsbegrepp. Dessutom spelar storlek och kedjepositio in, och dessa tre faktorer måste ni väga mot varandra innan en slutsats kan dras. i några få frågor se var ditt företag står ger där en första vägledning utan att ni själva behöver söka igenom hela texten.
Sektor: vilken del av tillverkningsindustrin som faktiskt är nämnda
Bilaga I innehåller sektorer som anses "väsentliga", såsom energi, dricksvatten och transport — de klassiska allmännyttiga tjänsterna. Bilaga II lägger till sektorer som anses "viktiga", och där ingår även en del av tillverkningsindustrin: tillverkning av vissa medicinska hjälpmedel och in vitro-diagnostik, datorer och elektroniska produkter, elektrisk utrustning, maskiner och apparater samt motorfordon och fordonsdelar. En leverantör som exakt faller in i sådan en produktgrupp kan mycket väl själv omfattas av direktivet, även om företaget aldrig har sett sig själv som "kritisk infrastruktur".
För företag som faller utanför denna förteckning — tänk på allmän metallbearbetning, plåtarbete, svetsning eller konstruktionsbyggnation utan specifikt nämnda slutprodukt — gäller inte sektorkravet. Det utesluter dock inte en skyldighet via leveranskedjan, och det återkommer vi till senare.
Storlek: gränsen mellan mellanstora och stora företag
Om sektorn faktiskt är tillämplig, spelar företagets storlek därefter in. Direktivet arbetar med den europeiska klassificeringen av mikro-, små, mellanstora och stora företag, baserad på antalet anställda tillsammans med omsättning eller balansomslutning. Små och mellanstora företag faller i regel utanför direkt skyldighet, med undantag som den nationella lagstiftaren kan ange. De exakta trösklarna och eventuella undantag finns i direktivtexten och den nationella implementeringen; vi hittar på dessa siffror inte här, utan de går att finna via den officiella källan.
För ett familjeföretag med femton anställda som exakt ligger i en nämnda produktgrupp är sektorn alltså inte en automatisk skyldighet — storleken kan vara avgörande för att det inte uppstår någon direkt förpliktelse. För det större, exporterande maskinbyggarföretaget med hundratals anställda kan samma sektorklassificering mycket väl leda till en skyldighet.
Kedjepositio: även utan egen skyldighet berörd
Huvuddelen av metall- och tillverkningsindustrin berörs inte via sektorlistan utan via kunden. En väsentlig eller viktig enhet — ett energiföretag, ett vattenföretag, en stor tillverkare av medicinska apparater — måste enligt sin omsorgsplikt även bedöma risker i egen leveranskedja. I praktiken översätts det till säkerhetsenkäter, avtalsvillkor och ibland en obligatorisk procedur för att rapportera incidenter till uppdragsgivaren, medan leverantörföretaget själv faller utanför lagen. Om ni som CNC-svarvare, svetsföretag eller komponentleverantör levererar till en sådan part, får ni konsekvenserna tidigare via kontraktet än genom själva lagen. Hur man läser och besvarar en sådan enkät är en separat fråga; förklaringen per ämne sammanställer de vanligaste situationerna vid sidan av varandra.
Produktionssystem som är anslutna till nätverket
En anledning till att uppdragsgivare i tillverkningsindustrin specifikt ställer frågor här är kopplingen mellan kontorsautomation och produktion. Maskiner, PLC:er och produktionslinjer som tidigare kördes isolerat är i många företag nu anslutna till samma nätverk som planering, fakturering och e-post. En uppdragsgivare som utvärderar sin egen leveranskedja tittar inte bara på kontorssystem utan också på hur dessa produktionssystem är skärmade, vem som har åtkomst till dem och vad som händer vid ett fel eller avbrott. Det förklarar varför checklista inom denna sektor ofta går längre än "har ni en lösenordspolicy" och specifikt frågar om nätverkssegmentering mellan kontor och produktion.
Vad du gör om det fortfarande är otydligt
Eftersom sektor, företagsstorlek och position i leveranskedjan är oberoende av varandra, är det väl möjligt att ett metallföretag inte passar exakt på någon av de tre, passar på en av dem, eller passar på alla tre samtidigt. Ett klart svar kräver att du lägger din egen NACE-kod, de senaste årsresultaten och en bild av dina viktigaste kunder bredvid varandra. hur resultatet av kontrollen tas fram visar vilka källor som används, inklusive datumet då de konsulterades. För din egen, slutgiltiga situation är en jurist eller den utsedd tillsynsmyndigheten lämplig kontaktpunkt.
Vill du få en första vägledning för ditt eget företag utan att behöva lägga ner en halv dag: nis2-kontrollen är kostnadsfri och frågar bara om sektor, företagsstorlek och ett par frågor om dina viktigaste kunder. vanliga frågor om NIS2 och tillverkningsindustrin besvarar ett antal frågor som ofta återkommer inom denna sektor, redan innan du behöver ringa själv.