NIS2 er det europæiske direktiv, der stiller krav til cybersikkerhed i organisationer inden for bestemte sektorer. Hvorvidt direktivet gælder direkte for din virksomhed, afhænger af to ting: den sektor, du arbejder i, og størrelsen på din virksomhed. Hvis du ikke falder under denne kombination, er du sandsynligvis ikke direkte målgruppe for direktivet, men det betyder ikke, at NIS2 aldrig påvirker dig.
Mange virksomheder, der selv falder uden for anvendelsesområdet, får nemlig alligevel spørgsmål om cybersikkerhed fra en kunde, der gælder under NIS2. Denne kunde skal dokumentere, at hele sin forsyningskæde er tilstrækkeligt sikret, og sender derfor et spørgeskema videre til leverandørerne. I så fald gælder direktivet ikke for dig, men det gælder derimod den kontraktmæssig aftale, som din kunde binder det til.
Sektor og størrelse bestemmer den direkte pligt
Direktivet retter sig mod det, det kalder "essentielle" og "vigtige" enheder: organisationer inden for sektorer som energi, transport, drikkevand, digital infrastruktur, bankwesen og sundhedsvæsen, suppleret med en række andre sektorer, der er opført i selve direktivet. Herudover gælder størrelsescriterier, som kan variere pr. sektor og pr. kategori. En lille installatørvirksomhed uden rolle inden for en af disse sektorer falder som regel uden for NIS2's direkte virkeområde. Du finder den nøjagtige sektorliste og den måde, hvorpå medlemsstaterne har implementeret dette i national lovgivning, i den officielle tekst og hos det tilsynsorgan, der er udpeget i dit land; i Danmark er det Styrelsen for Cybersikkerhed og Infrastruktur.
Også uden for sektoren: spørgsmålet fra din kunde
En virksomhed, der gælder under NIS2, skal bl.a. vurdere, hvor sikre de organisationer er, som den samarbejder med. Det kaldes forsyningskæderisiko eller leverandørrisiko, og direktivet nævner dette eksplicit som et opmærksomhedspunkt. I praksis oversættes det til et spørgeskema eller en kontraktbestemmelse fra din kunde: har du en kontaktperson for hændelser, rapporterer du et databrud inden for en bestemt frist, har du reguleret adgangskontrol. Dette er ofte de samme slags foranstaltninger som de ti, som direktivet selv nævner for de virksomheder, der direkte falder under det. Mere om hvad disse spørgsmål præcist betyder, og hvordan de forholder sig til eksisterende forpligtelser såsom GDPR, kan du læse i forklaringen pr. emne i vidensbasen.
Hvordan du tjekker dette for dig selv
Hvorvidt NIS2 direkte gælder for dig, er et faktisk spørgsmål, som du bedst kan besvare på baggrund af den officielle sektorklassificering og størrelseskriterierne, som de er implementeret i dit land. Hvis du er i tvivl, er det relevante tilsynsorgan eller en jurist den rette part til at afgøre det; denne artikel kan ikke erstatte denne vurdering. Det, du selv hurtigt kan tjekke, er, om du får signaler, der tyder på indirekte involvering: en kunde, der netop har sendt et spørgeskema om cybersikkerhed, en kontrakt, der henviser til indberetningspligter, eller en udbud, hvor sikkerhedsforanstaltninger anmodes om. Det er praktiske indikatorer, ikke en juridisk vurdering.
Hvad hvis du modtager spørgsmål, uanset direkte pligt
Enten du direkte falder under NIS2, eller du kun indirekte får konsekvenserne af det via en kunde, ændrer selve spørgeskemaet sig ikke meget: du bliver bedt om at beskrive, hvilke foranstaltninger du har truffet, og at understøtte det. Det overlapper ofte med det, du allerede har dokumenteret til andre formål, såsom adgangskontrol til GDPR eller beredskabsprocedurer for forretningskontinuitet. Det er denne overlap, der gør, at virksomheder skal levere samme slags dokumentation igen og igen i bare et nyt format hver gang. Svar på hyppigt stillede spørgsmål om, hvordan denne slags spørgeskemaer præcist fungerer, finder du i de ofte stillede spørgsmål om spørgeskemaer, og en forklaring på hvor informationen på dette websted kommer fra findes på siden om, hvordan det fungerer.
Der er ingen myndighed, der for dig fastslår, om NIS2 gælder for din virksomhed; det forbliver en vurdering, der ligger hos dig selv, din jurist eller tilsynsmyndigheden. Det, du dog hurtigt kan gøre, er at kontrollere, om de signaler, du genkender, passer til en direkte eller indirekte inddragelse. Vil du se det overskueligt side om side, så kan du få en indikation i et par spørgsmål på, hvor du står, eller gennemgå emerne roligt, der kan være relevante for din situation.