Omfattas mitt företag av NIS2?
Huruvida ditt företag själv omfattas av NIS2-direktivet beror på två saker: den sektor där du är verksam och storleken på din organisation. Direktivet anger i två bilagor sektorer som det anser viktiga för samhället eller ekonomin, från energi och transport till digital infrastruktur och avloppsvattenbehandling. Om ditt företag faller inom en sådan sektor och inom den storlek som direktivet använder, är du sannolikt själv en "viktig" eller "kritisk" enhet, med alla associerade skyldigheter.
Men svaret slutar inte där. Många fler företag faller utanför sektor och storlek, och får ändå kraven: som leverantör, installatör eller tjänsteleverantör till ett företag som är skyldig. De skyldiga organisationerna måste nämligen bedöma sin egen leveranskedja, och det översätts till frågelistor och avtalsvillkor för företag som själva aldrig behöver registrera sig hos en tillsynsmyndighet.
Sektor: bilaga I och II
Direktivet listar sektorer i två bilagor. Bilaga I nämner de sektorer som betraktas som kritiska: bland annat energi, transport, bankväsen, dricksvatten, digital infrastruktur och offentlig förvaltning. Bilaga II nämner sektorer som betraktas som viktiga, såsom post- och kuriertjänster, avfallshantering, kemi, livsmedel och vissa digitala tjänster. Ett installationsföretag, en IT-tjänsteleverantör eller ett konsultföretag är vanligtvis inte namngivet i dessa bilagor, men beskrivningarna är bredare än vad namn antyder. Den som är osäker på om sin verksamhet faller under någon av dessa sektorer gör väl i att läsa beskrivningen i den officiella texten själv, inte bara sektornamnet.
Storlek: när ditt företag räknas med
Utöver sektorn tittar direktivet på organisationens storlek, med den vanliga EU-klassificeringen av små, medelstora och stora företag baserat på personal och omsättning eller balansomslutning. För de flesta sektorer gäller: ju större företaget, desto tidigare faller det inom tillämpningsområdet. Det finns också undantag där storleken spelar mindre roll, till exempel när en organisation är den enda leverantören av en viss tjänst i ett land. Dessa undantag är noggrant beskrivna i direktivet och i den nationella lag som bygger på det; en exakt bedömning för din egen situation är upp till dig själv, din jurist eller tillsynsmyndigheten.
Den största gruppen faller utanför, och får kraven ändå
Den del av direktivet som får mest uppmärksamhet handlar om skyldighet att vidta åtgärder: skyldiga organisationer måste vidta lämpliga åtgärder och också bedöma sina leverantörer. Det är precis vad den största gruppen företag möter. Ett installationsföretag som underhåller byggnadsstyrningssystem för ett energibolag, ett städföretag som arbetar för ett sjukhus, eller en IT-partner till en kommun: ingen av dem behöver registrera sig själva, men de kan alla få en frågelista. I praktiken kallas detta ofta "påverkat av leveranskedjekraven": du omfattas inte själv av direktivet, men en kund som gör det kan ändå be dig att visa att din säkerhet är i ordning.
Huruvida detta gäller ditt företag beror på vilka dina kunder är och hur viktig din tjänst är för dem. Det är svårt att bedöma utan en överblick över sektor, storlek och leveranskedjeroll tillsammans. I några frågor ser du ungefär var ditt företag står, med en förklaring till varför och ett förslag för nästa steg.
Finansiella institut: en särskild reglering
Banker, försäkringsbolag och andra finansiella institut omfattas inte av NIS2 utan av en separat förordning om digital operativ motståndskraft, riktad specifikt mot finanssektorn. Den som är verksam i den sektorn brukar redan känna igen det vid den första intakefrågan om sektorn.
Vad du kan göra om svaret inte är klart
Sektor och storlek tillsammans ger en bra första indikation, men den exakta gränsen mellan "kritisk", "viktig", "påverkat av leveranskedjekraven" och "opåverkat" kräver skräddarsydd bedömning. Kunskapsbanken med alla ämnen per situation förklarar varje begrepp och hänvisar till dess placering i den officiella texten. Om du fortfarande är osäker efter att ha läst den, är en jurist eller tillsynsmyndigheten i ditt land lämplig part för att bedöma din specifika situation; secria.eu uttalar sig medvetet inte om detta.
Vill du först veta var informationen på denna plattform kommer ifrån och hur den hålls aktuell? Läs här hur vi upprätthåller källor. Svar på praktiska frågor om användningen av plattformen hittar du i översikten med vanliga frågor.
Det korta svaret på 'omfattas mitt företag av direktiv (EU) 2022/2555' får du genom att jämföra sektor, storlek och kedjroll sida vid sida. Gör den kostnadsfria kontrollen och läs kunskapsbasen; de ger dig redan utan konto en första, väl underbyggd bild av var ditt företag står.