En av de första frågorna företag ställer om NIS2 är helt enkelt: gäller det oss? Svaret beror på vilken sektor ni verkar i, er storlek, vilken typ av tjänst ni tillhandahåller och den nationella rätten i varje EU-medlemsstat där ni verkar. Den här guiden sammanfattar den övergripande strukturen för direktivets tillämpningsområde så att ni kan formulera en rimlig fråga till juridiska rådgivare och avgöra vad nästa steg är. Den är allmän information och inte juridisk rådgivning.
Vad det är
NIS2 (direktiv (EU) 2022/2555) räknar upp omfattade sektorer i två bilagor. Bilaga I omfattar sektorer med hög kritikalitet: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster (mellan företag), offentlig förvaltning och rymden. Bilaga II omfattar andra kritiska sektorer: post- och budtjänster, avfallshantering, tillverkning och distribution av kemikalier, produktion och distribution av livsmedel, tillverkning av vissa produkter (som medicintekniska produkter, datorer och elektronik, elektrisk utrustning, maskiner och fordon), digitala leverantörer (onlinemarknadsplatser, sökmotorer och plattformar för sociala nätverk) samt forskning. Som huvudregel gäller direktivet medelstora och stora organisationer i dessa sektorer; enligt EU:s definition av små och medelstora företag är en organisation i stort sett minst medelstor om den har 50 eller fler anställda, eller om både dess årsomsättning och dess balansomslutning överstiger 10 miljoner euro. Vissa entiteter omfattas oavsett storlek, till exempel vissa tillhandahållare av allmänna elektroniska kommunikationstjänster, tillhandahållare av betrodda tjänster, tillhandahållare av DNS-tjänster och registreringsenheter för toppdomäner, och medlemsstaterna kan utse andra. Omfattade organisationer klassas som väsentliga eller viktiga entiteter. I stora drag är stora organisationer i sektorer enligt bilaga I väsentliga, medan medelstora organisationer enligt bilaga I och organisationer enligt bilaga II är viktiga, med förbehåll för regler som gäller oavsett storlek och nationellt utpekande. Klassningen påverkar tillsyn och sanktioner snarare än de grundläggande åtgärder som förväntas.
Vem det är för
Guiden är användbar för:
- Chefer i medelstora företag inom tillverkning, logistik, digitala tjänster, livsmedel, kemikalier eller hälsorelaterade leveranskedjor
- Leverantörer av hanterade tjänster och IKT som arbetar för företagskunder
- Leverantörer till omfattade entiteter som får säkerhetsformulär
- Koncerner som verkar i flera EU-medlemsstater och behöver en enhetlig bild
Vad det hjälper till att klargöra
Att gå igenom strukturen för tillämpningsområdet hjälper till att klargöra:
- Om någon av era verksamheter motsvarar en sektor i bilaga I eller bilaga II
- Om ni når upp till storlekströskeln eller tillhör en kategori som omfattas oavsett storlek
- Vilka medlemsstaters nationella rätt och myndigheter som är relevanta
- Om era skyldigheter är direkta eller uppstår indirekt genom kundavtal
Vad ingår
- Lista varje verksamhet och tjänsteområde, inte bara huvudbeskrivningen av verksamheten
- Jämför varje verksamhet med sektorbeskrivningarna i bilaga I och bilaga II
- Kontrollera antal anställda, omsättning och balansräkning, med hänsyn till koncernstruktur och partnerföretag eller anknutna företag enligt EU:s definition av små och medelstora företag
- Identifiera varje medlemsstat där ni tillhandahåller omfattade tjänster eller har etableringar
- Kontrollera den nationella införlivandelagen och myndighetsvägledningen i varje relevant land
- Dokumentera resultatet, resonemanget och datumet, och se över det när verksamheten förändras
- Om ni inte omfattas, lista kunder som omfattas och de säkerhetskrav de för vidare
Vad som inte ingår
- Ett juridiskt avgörande om huruvida NIS2 gäller för er organisation
- Tolkning av en specifik nationell införlivandelag
- Registrering hos myndigheter för er räkning
- Certifiering eller godkännande av regelefterlevnad
När det passar att välja den
Använd guiden tidigt, innan ni investerar i ett stort program, och igen när ni går in i en ny sektor eller ett nytt land, förvärvar ett företag eller passerar en storlekströskel. Om svaret är oklart, till exempel för att en verksamhet ligger på gränsen till en sektorbeskrivning, ta juridisk rådgivning i stället för att anta. Även organisationer utanför det direkta tillämpningsområdet har ofta nytta av att förbereda sig, eftersom omfattade kunder måste hantera risker i sin leveranskedja. Den här artikeln är allmän information och inte juridisk rådgivning.
Vår strategi
Behandla tillämpningsområdet som ett dokumenterat beslut snarare än ett snabbt ja eller nej. Samla fakta först: verksamheter, storleksuppgifter, koncernstruktur och länder. Ta sedan frågan till juridiska rådgivare med det underlaget. Titta parallellt på de säkerhetsåtgärder som NIS2 förväntar sig; de speglar allmänt erkänd god praxis, så det är användbart att förbättra dem oavsett hur frågan om tillämpningsområde besvaras. Vår tjänst Security Baseline Review kan ge er en skriftlig bild av överenskomna tillgångar och iakttagelser klassade efter allvarlighetsgrad, med iakttagelser om beredskapsbrister mot en överenskommen referens där det ingår i den bekräftade omfattningen. Det underlaget kan stödja samtal med kunder, ledning och rådgivare. Det är beslutsunderlag som hjälper er att ta fokuserade frågor till juridiska rådgivare och, där det är relevant, till certifieringsorgan. Om ni är leverantör, fråga era omfattade kunder vilka specifika kontroller de behöver att ni kan visa, och prioritera dem.
Vanliga frågor
Relaterade artiklar
Kom igång
Vill ni få en tydligare bild av er NIS2-position?
Berätta om era sektorer, länder och de system som ligger bakom era viktigaste tjänster. Vi föreslår en avgränsad granskning som stöder ert beredskapsarbete.
Begär en skriftlig omfattning