NIS2 är det europeiska direktivet som ställer krav på cybersäkerhet hos organisationer inom vissa sektorer. Huruvida direktivet gäller direkt för ditt företag beror på två saker: sektorn där du är verksam och storleken på ditt företag. Om du inte omfattas av denna kombination är du själv förmodligen ingen direkt målgrupp för direktivet, men det betyder inte att NIS2 aldrig drabbar dig.
Många företag som själva faller utanför tillämpningsområdet får nämligen ändå frågor om cybersäkerhet från en kund som omfattas av NIS2. Den kunden måste visa att hela hennes leverantörskedja är tillräckligt säker och skickar därför en enkät till leverantörer. I så fall gäller inte direktivet för dig, men väl det avtalsvillkor som din kund binder den till.
Sektor och storlek avgör den direkta skyldigheten
Direktivet riktar sig till det som kallas "väsentliga" och "viktiga" enheter: organisationer inom sektorer som energi, transport, dricksvatten, digital infrastruktur, bankväsen och hälso- och sjukvård, tillsammans med ett antal andra sektorer som anges i själva direktivet. Dessutom gäller storlekskriterier som kan variera per sektor och per kategori. Ett litet installationsföretag utan roll i någon av dessa sektorer faller vanligtvis utanför NIS2:s direkta tillämpningsområde. Du hittar den exakta sektorlistan och hur medlemsstaterna har genomfört detta i nationell lagstiftning i den officiella texten och hos den tillsynsmyndighet som utsetts i ditt land; i Sverige är det Myndigheten för samhällsskydd och beredskap.
Även utanför sektorn: din kunds fråga
Ett företag som omfattas av NIS2 måste bland annat bedöma hur säkra de organisationer är som det samarbetar med. Detta kallas kedjrisk eller leverantörsrisk, och direktivet nämner detta uttryckligen som en uppmärksamhetspunkt. I praktiken uttrycks det som en enkät eller ett avtalsvillkor från din kund: har du en kontaktperson för incidenter, rapporterar du ett dataintrång inom en viss tid, har du löst åtkomstkontrollen. Det är ofta samma sorts åtgärder som de tio som direktivet självt nämner för företag som omfattas direkt av det. Läs mer om vad dessa frågor exakt betyder och hur de förhåller sig till befintliga skyldigheter som GDPR i förklaringen per ämne i kunskapsbanken.
Hur du kontrollerar detta för dig själv
Huruvida NIS2 direkt gäller för dig är en faktisk fråga som du bäst besvarar utifrån den officiella sektorindelningen och storlekskriterierna så som de genomförts i ditt land. Om du är osäker är den behörig tillsynsmyndigheten eller en jurist rätt instans för att bedöma detta; den här artikeln kan inte ersätta den bedömningen. Det du själv kan kontrollera snabbt är om du får signaler som tyder på en indirekt inblandning: en kund som nyligen skickade en enkät om cybersäkerhet, ett avtal som hänvisar till rapporteringsskyldigheter, eller en upphandling där säkerhetåtgärder efterfrågas. Det är praktiska indikatorer, inte ett juridiskt omdöme.
Vad om du faktiskt får frågor, oavsett den direkta skyldigheten
Oavsett om du direkt omfattas av NIS2 eller bara möter konsekvenserna genom en kund ändras inte själva enkäten mycket: du tillfrågas att beskriva vilka åtgärder du har vidtagit och att styrka det. Det överlappar ofta med vad du redan har dokumenterat för andra ändamål, som åtkomstkontroll för GDPR eller katastrofberedskapsprocedurer för affärskontinuitet. Det är denna överlappning som gör att företag måste lämna samma sorts bevishandlingar om och om igen, i lite olika format varje gång. Svar på vanliga frågor om hur denna typ av enkäter fungerar hittar du i vanliga frågor om enkäter, och en förklaring om var informationen på denna webbplats kommer från finns på sidan om hur det fungerar.
Det finns ingen myndighet som fastställer för dig om NIS2 gäller för ditt företag; det är en bedömning som är din, din jurists eller tillsynsmyndighetens ansvar. Det du snabbt kan göra är att kontrollera om de signaler du känner igen passar med ett direkt eller indirekt deltagande. Om du vill se det överblickbart sida vid sida kan du få en indikation på några frågor om var du står, eller systematiskt gå igenom de områden som kan vara relevanta för din situation.