Hvem gjelder NIS2 for? Sektorer, størrelse og typer virksomheter

Et av de første spørsmålene virksomheter stiller om NIS2, er ganske enkelt: gjelder det oss? Svaret avhenger av sektoren dere opererer i, størrelsen, hvilken type tjeneste dere leverer, og den nasjonale retten i hver EU-medlemsstat dere opererer i. Denne guiden oppsummerer den generelle strukturen i direktivets virkeområde, slik at dere kan formulere et fornuftig spørsmål til juridiske rådgivere og avgjøre hva som er neste steg. Den er generell informasjon og ikke juridisk rådgivning.

Hva det er

NIS2 (direktiv (EU) 2022/2555) lister opp omfattede sektorer i to vedlegg. Vedlegg I dekker sektorer med høy kritikalitet: energi, transport, bank, infrastruktur for finansmarkeder, helse, drikkevann, avløpsvann, digital infrastruktur, forvaltning av IKT-tjenester (mellom virksomheter), offentlig forvaltning og romvirksomhet. Vedlegg II dekker andre kritiske sektorer: post- og budtjenester, avfallshåndtering, produksjon og distribusjon av kjemikalier, produksjon og distribusjon av næringsmidler, produksjon av visse produkter (som medisinsk utstyr, datamaskiner og elektronikk, elektrisk utstyr, maskiner og kjøretøy), digitale tilbydere (nettbaserte markedsplasser, søkemotorer og plattformer for sosiale nettverk) og forskning. Som hovedregel gjelder direktivet mellomstore og store organisasjoner i disse sektorene; etter EUs definisjon av SMB er en organisasjon i hovedsak minst mellomstor hvis den har 50 eller flere ansatte, eller hvis både årlig omsetning og balansesum overstiger 10 millioner euro. Noen enheter omfattes uavhengig av størrelse, som visse tilbydere av offentlige elektroniske kommunikasjonstjenester, tilbydere av tillitstjenester, tilbydere av DNS-tjenester og registre for toppnivådomener, og medlemsstatene kan utpeke andre. Omfattede organisasjoner klassifiseres som vesentlige eller viktige enheter. Grovt sett er store organisasjoner i sektorer i vedlegg I vesentlige, mens mellomstore organisasjoner i vedlegg I og organisasjoner i vedlegg II er viktige, med forbehold om regler som gjelder uavhengig av størrelse og nasjonal utpeking. Klassifiseringen påvirker tilsyn og sanksjoner snarere enn de grunnleggende tiltakene som forventes.

Hvem det er for

Denne guiden er nyttig for:

Ledere i mellomstore selskaper innen produksjon, logistikk, digitale tjenester, næringsmidler, kjemikalier eller helserelaterte leverandørkjeder
Leverandører av administrerte tjenester og IKT som arbeider for bedriftskunder
Leverandører til omfattede enheter som mottar sikkerhetsspørreskjemaer
Konsern som opererer i flere EU-medlemsstater og trenger en enhetlig oversikt

Hva det hjelper med å klarlegge

En gjennomgang av strukturen i virkeområdet bidrar til å avklare:

Om noen av aktivitetene deres samsvarer med en sektor i vedlegg I eller vedlegg II
Om dere oppfyller størrelsesterskelen, eller faller inn under en kategori som omfattes uavhengig av størrelse
Hvilke medlemsstaters nasjonale rett og myndigheter som er relevante
Om forpliktelsene er direkte, eller oppstår indirekte gjennom kundekontrakter

Hva er inkludert

List opp alle aktiviteter og tjenesteområder, ikke bare hovedbeskrivelsen av virksomheten
Sammenlign hver aktivitet med sektorbeskrivelsene i vedlegg I og vedlegg II
Kontroller antall ansatte, omsetning og balanse, og ta hensyn til konsernstruktur og partner- eller tilknyttede foretak slik EUs definisjon av SMB krever
Identifiser alle medlemsstater der dere leverer omfattede tjenester eller har etableringer
Sjekk den nasjonale gjennomføringsloven og veiledningen fra myndighetene i hvert relevant land
Dokumenter resultatet, begrunnelsen og datoen, og gjennomgå det når virksomheten endres
Hvis dere ikke er omfattet, list opp kunder som er omfattet, og sikkerhetskravene de videreformidler

Hva er ikke inkludert

En juridisk avgjørelse om hvorvidt NIS2 gjelder for organisasjonen
Tolkning av en bestemt nasjonal gjennomføringslov
Registrering hos myndigheter på deres vegne
Sertifisering eller godkjenning av etterlevelse

Når skal den velges

Bruk denne guiden tidlig, før dere investerer i et stort program, og igjen hver gang dere går inn i en ny sektor eller et nytt land, kjøper en virksomhet eller passerer en størrelsesterskel. Hvis svaret er uklart, for eksempel fordi en aktivitet ligger på grensen av en sektorbeskrivelse, innhent juridisk rådgivning i stedet for å anta. Selv organisasjoner utenfor det direkte virkeområdet har ofte nytte av å forberede seg, fordi omfattede kunder må styre risiko i leverandørkjeden sin. Denne artikkelen er generell informasjon og ikke juridisk rådgivning.

Vår tilnærming

Behandle virkeområdet som en dokumentert beslutning, ikke som et raskt ja eller nei. Samle fakta først: aktiviteter, størrelsesdata, konsernstruktur og land. Ta deretter spørsmålet til juridiske rådgivere med dette grunnlaget. Se parallelt på sikkerhetstiltakene NIS2 forventer; de gjenspeiler allment anerkjent god praksis, så det er nyttig å forbedre dem uansett hvordan spørsmålet om virkeområde besvares. Tjenesten vår Security Baseline Review kan gi dere en skriftlig oversikt over avtalte eiendeler og observasjoner gradert etter alvorlighet, med observasjoner av beredskapsgap mot en avtalt referanse der det inngår i det bekreftede omfanget. Dette grunnlaget kan støtte samtaler med kunder, ledelse og rådgivere. Det er beslutningsstøtte som hjelper dere å ta målrettede spørsmål med til juridiske rådgivere og, der det er relevant, sertifiseringsorganer. Hvis dere er leverandør, spør de omfattede kundene hvilke konkrete kontroller de trenger at dere dokumenterer, og prioriter dem.

Security Baseline Review

Se tjenestesiden for Security Baseline Review