Omfattas mitt företag av NIS2?

## Omfattas mitt företag av NIS2? Om ditt företag själv omfattas av NIS2-direktivet beror på två saker: den sektor där du är verksam och din organisations storlek. Direktivet pekar ut två bilagor med sektorer som det anser är viktiga för samhället eller ekonomin, från energi och transport till digital infrastruktur och avloppsvattenhantering. Om ditt företag finns inom en sådan sektor och inom den storlek som direktivet använder, är du troligen själv en "väsentlig" eller "viktig" enhet, med alla dess skyldigheter. Men svaret slutar inte där. Många fler företag faller utanför sektor och storlek, men får kraven ändå: som leverantör, installatör eller tjänsteleverantör för ett företag som är lagstiftat. De lagstiftade organisationerna måste nämligen bedöma sin egen värdekedja, och det översätts till enkäter och avtalsvillkor för företag som själva aldrig behöver registrera sig hos en tillsynsmyndighet. ### Sektor: bilaga I och II Direktivet listar sektorer i två bilagor. Bilaga I nämner de sektorer som anses väsentliga: bland annat energi, transport, bankväsen, dricksvatten, digital infrastruktur och offentlig förvaltning. Bilaga II nämner sektorer som anses viktiga, såsom post- och kurirtjänster, avfallshantering, kemikalier, livsmedel och vissa digitala tjänster. Ett installationsföretag, en IT-tjänsteleverantör eller ett konsultbyrå står vanligtvis inte namngivet i dessa bilagor, men beskrivningarna är bredare än vad namnet antyder. Den som är osäker på om sin verksamhet faller under någon av dessa sektorer gör bra i att läsa beskrivningen i den officiella texten själv, inte bara sektornamnet. ### Storlek: när ditt företag räknas Med tanke på sektorn ser direktivet på organisationens storlek, med den vanliga EU-klassificeringen av små, medelstora och stora företag baserat på personal och omsättning eller balansomslutning. För de flesta sektorer gäller: ju större företaget är, desto tidigare faller det inom omfattningen. Det finns också undantag där storleken spelar mindre roll, till exempel när en organisation är den enda leverantören av en viss tjänst i ett land. Dessa undantag är noggrant beskrivna i direktivet och i den nationella lag som bygger på det; en exakt bedömning för din egen situation är upp till dig själv, din jurist eller tillsynsmyndigheten att göra. ### Den största gruppen faller utanför, och får kraven ändå Den del av direktivet som får mest uppmärksamhet handlar om ansvarsfulla åtgärder: lagstiftade organisationer måste vidta lämpliga åtgärder och även bedöma sina leverantörer. Det är just där den största gruppen företag har att göra med detta. Ett installationsföretag som underhåller byggnadskontrollsystem för ett energiföretag, ett städföretag som arbetar för ett sjukhus, eller en IT-partner för en kommun: ingen av dem behöver registrera sig själva, men alla kan få en enkät. Det kallas ofta "värdekedjepåverkad" i praktiken: du omfattas inte själv av direktivet, men en kund som det gör kan ändå be dig visa att din säkerhet är i ordning. Om detta gäller ditt företag beror på vilka dina kunder är och hur viktig din tjänst är för dem. Det är svårt att bedöma utan en överblick över sektor, storlek och värdekedjroll tillsammans. [[LINK:/nis2-check|I några få frågor ser du ungefär var ditt företag står]], med en förklaring varför och ett förslag för nästa steg. ### Finansiella institutioner: en separat reglering Banker, försäkringsbolag och andra finansiella institutioner omfattas inte av NIS2 utan av en separat förordning om digital operativ motståndskraft, riktad specifikt mot finanssektorn. Den som är verksam inom denna sektor känner vanligtvis igen detta redan vid första intakefrågan om sektorn. ### Vad du gör om svaret inte är klart Sektor och storlek tillsammans ger en bra första indikation, men den exakta gränsen mellan "väsentlig", "viktig", "värdekedjepåverkad" och "inte påverkad" kräver skräddarsytt arbete. [[LINK:/onderwerpen|Kunskapsbanken med alla ämnen per situation]] ger en förklaring för varje begrepp och hänvisar till källan i den officiella texten. Om du fortfarande är osäker efter att ha läst det, är en jurist eller tillsynsmyndigheten i ditt land den lämpliga parten för att bedöma din specifika situation; secria.eu tar medvetet inte ställning till det. Vill du först veta var informationen på denna plattform kommer ifrån och hur den hålls uppdaterad? [[LINK:/hoe-het-werkt|Läs här hur vi hanterar källor]]. Svar på praktiska frågor om hur man använder plattformen hittar du i [[LINK:/veelgestelde-vragen|översikten med vanliga frågor]]. Det korta svaret på "omfattas mitt företag av NIS2" får du genom att lägga sektor, storlek och värdekedjroll vid sidan av varandra. Gör den kostnadsfria kontrollen och läs kunskapsbanken; de ger dig redan utan konto en första, väl grundad bild av var ditt företag står.