Vilka företag omfattas av NIS2?
Frågan om vem som omfattas av NIS2 är inte alltid självklar. Direktivet utgår från sektorer och storlek, men leverantörskedjeansvaret gör att även mindre bolag berörs i praktiken. Här går vi igenom vem som är 'väsentlig', vem som är 'viktig', och varför många underleverantörer också måste leva upp till kraven.
De 18 sektorerna
NIS2 delar in sektorer i två grupper baserat på samhällskritikalitet.
- Hög-kritiska (Annex I): energi, transport, bank, finansmarknadsinfrastruktur, hälsa, dricksvatten, avloppsvatten, digital infrastruktur, IKT-tjänster, offentlig förvaltning, rymd
- Övriga kritiska (Annex II): post och kurir, avfallshantering, kemikalier, livsmedelsproduktion, tillverkning (medicinteknik, dator/elektronik, maskiner, fordon), digitala leverantörer, forskning
Storlekströsklar
Direktivet använder EU:s definition av medelstora företag som tröskel: 50+ anställda eller över 10 MEUR i omsättning OCH balansomslutning över 10 MEUR.
Annex I-verksamheter över tröskeln klassas som väsentliga entiteter. Annex II-verksamheter över tröskeln klassas som viktiga entiteter. Vissa specifika verksamhetstyper omfattas oavsett storlek — t.ex. leverantörer av DNS-tjänster, TLD-registrar och betrodda tjänster.
Leverantörskedjeansvaret
Artikel 21.2(d) ställer krav på att omfattade entiteter bedömer och hanterar säkerheten i sin leverantörskedja. I praktiken innebär det att stora NIS2-kunder kommer kräva motsvarande säkerhetsnivå från sina leverantörer via avtal, oavsett om leverantören själv omfattas direkt.
Det innebär att även IT-leverantörer, konsultbolag och produktbolag som inte når storlekströskeln ofta möter NIS2-krav i kundavtal — och behöver kunna visa dokumenterad efterlevnad för att vinna eller behålla affärer.
Frågor och svar
Vi har 40 anställda — omfattas vi?
Inte direkt, om ni inte är en av de få verksamhetstyper som omfattas oavsett storlek. Men leverantörskedjeansvaret kan göra att era kunder ändå ställer motsvarande krav.
Hur vet vi om vi är väsentlig eller viktig?
Det avgörs av sektor enligt Annex I (väsentlig) eller Annex II (viktig). MSB publicerar vägledning för bedömning.
Måste vi anmäla oss till MSB?
Ja. Omfattade verksamheter ska anmäla sig till behörig myndighet (MSB i Sverige) inom utsatt tid efter att de identifierat sig som omfattade.