Hvem er omfattet af NIS2? Sektorer, størrelse og enhedstyper

Hvad det er

NIS2 (direktiv (EU) 2022/2555) oplister de omfattede sektorer i to bilag. Bilag I omfatter sektorer med høj kritikalitet: energi, transport, bankvirksomhed, finansielle markedsinfrastrukturer, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af IKT-tjenester (business-to-business), offentlig forvaltning og rummet. Bilag II omfatter andre kritiske sektorer: post- og kurertjenester, affaldshåndtering, fremstilling og distribution af kemikalier, produktion og distribution af fødevarer, fremstilling af visse produkter (såsom medicinsk udstyr, computere og elektronik, elektrisk udstyr, maskiner og køretøjer), digitale udbydere (onlinemarkedspladser, søgemaskiner og platforme for sociale netværk) samt forskning. Som hovedregel gælder direktivet for mellemstore og store organisationer i disse sektorer; efter EU’s SMV-definition er en organisation i store træk mindst mellemstor, hvis den har 50 eller flere ansatte, eller hvis både dens årlige omsætning og dens samlede balance overstiger 10 millioner EUR. Visse enheder er omfattet uanset størrelse, såsom visse udbydere af offentlige elektroniske kommunikationstjenester, tillidstjenesteudbydere, udbydere af DNS-tjenester og registre for topdomænenavne, og medlemsstaterne kan udpege andre. Omfattede organisationer klassificeres som væsentlige eller vigtige enheder. I store træk er store organisationer i sektorer under bilag I væsentlige, mens mellemstore organisationer under bilag I og organisationer under bilag II er vigtige, med forbehold for regler, der gælder uanset størrelse, og national udpegning. Klassificeringen påvirker tilsyn og sanktioner snarere end de grundlæggende foranstaltninger, der forventes.

Hvem er det for?

Denne vejledning er nyttig for:

• Ledere i mellemstore virksomheder inden for fremstilling, logistik, digitale tjenester, fødevarer, kemikalier eller sundhedsrelaterede forsyningskæder
• Udbydere af administrerede tjenester og ICT-udbydere, der arbejder for erhvervskunder
• Leverandører til omfattede enheder, der modtager sikkerhedsspørgeskemaer
• Koncerner, der opererer i flere EU-medlemsstater og har brug for et ensartet overblik

Hvad det hjælper med at afklare

Når I gennemgår strukturen i anvendelsesområdet, hjælper det med at afklare:

• Om nogen af jeres aktiviteter svarer til en sektor under bilag I eller bilag II
• Om I opfylder størrelsestærsklen eller falder ind under en kategori, der er omfattet uanset størrelse
• Hvilke medlemsstaters nationale lovgivning og myndigheder der er relevante
• Om jeres forpligtelser er direkte eller opstår indirekte gennem kundekontrakter

Hvad er inkluderet

• Oplist alle aktiviteter og forretningsområder, ikke kun den overordnede beskrivelse af virksomheden
• Sammenhold hver aktivitet med sektorbeskrivelserne i bilag I og bilag II
• Kontrollér antal ansatte, omsætning og balance, og tag højde for koncernstruktur og partner- eller tilknyttede virksomheder, som EU’s SMV-definition kræver
• Identificér alle medlemsstater, hvor I leverer omfattede tjenester eller har etableringer
• Kontrollér den nationale gennemførelseslov og myndighedernes vejledning i hvert relevant land
• Registrér resultatet, begrundelsen og datoen, og gennemgå det, når jeres forretning ændrer sig
• Hvis I ikke er omfattet, så oplist de kunder, der er omfattet, og de sikkerhedskrav, de videregiver

Hvad er ikke inkluderet?

• En juridisk afgørelse af, om NIS2 gælder for jeres organisation
• Fortolkning af en bestemt national gennemførelseslov
• Registrering hos myndigheder på jeres vegne
• Certificering eller godkendelse af compliance

Hvornår du skal vælge det

Brug denne vejledning tidligt, før I investerer i et stort program, og igen, når I går ind i en ny sektor eller et nyt land, opkøber en virksomhed eller krydser en størrelsestærskel. Hvis svaret er uklart, for eksempel fordi en aktivitet ligger på grænsen af en sektorbeskrivelse, så søg juridisk rådgivning i stedet for at gå ud fra noget. Selv organisationer uden for det direkte anvendelsesområde har ofte gavn af at forberede sig, fordi omfattede kunder skal styre risici i deres forsyningskæde. Denne artikel er generel information og ikke juridisk rådgivning.

Vores tilgang

Behandl spørgsmålet om omfang som en dokumenteret beslutning snarere end et hurtigt ja eller nej. Indsaml først fakta: aktiviteter, størrelsesdata, koncernstruktur og lande. Tag derefter spørgsmålet med til juridiske rådgivere sammen med dette grundlag. Se samtidig på de sikkerhedsforanstaltninger, NIS2 forventer; de afspejler bredt anerkendt god praksis, så det er nyttigt at forbedre dem, uanset hvordan spørgsmålet om omfang besvares. Vores tjeneste Security Baseline Review kan give jer en skriftlig vurdering af aftalte aktiver og observationer graderet efter alvorlighed med observationer af parathedsmangler i forhold til en aftalt reference, hvor det indgår i det bekræftede omfang. Det grundlag kan understøtte samtaler med kunder, ledelse og rådgivere. Det er beslutningsstøttemateriale, der hjælper jer med at stille fokuserede spørgsmål til juridiske rådgivere og, hvor det er relevant, certificeringsorganer. Hvis I er leverandør, så spørg jeres omfattede kunder, hvilke specifikke kontroller de har brug for, at I kan påvise, og prioritér dem.

Security Baseline Review

Ofte stillede spørgsmål

Relaterede artikler