Hoppa till innehållet
    ProjAlpha säkerhetsplattform
    Boka genomgång
    Kunskapsbank

    Vilka företag omfattas av NIS2?

    Frågan om vem som omfattas av NIS2 är inte alltid självklar. Direktivet utgår från sektorer och storlek, men leverantörskedjeansvaret gör att även mindre bolag berörs i praktiken. Här går vi igenom vem som är 'väsentlig', vem som är 'viktig', och varför många underleverantörer också måste leva upp till kraven.

    Nästa steg

    Vill ni inte lösa det här själva? Vi levererar det som en opererad tjänst — med drift, övervakning och ansvar hos oss.

    NIS2-efterlevnad
    AE
    Adrian Edgren
    VD, ProjAlphaLinkedIn (öppnas i ny flik)

    De 18 sektorerna

    NIS2 delar in sektorer i två grupper baserat på samhällskritikalitet.

    • Hög-kritiska (Annex I): energi, transport, bank, finansmarknadsinfrastruktur, hälsa, dricksvatten, avloppsvatten, digital infrastruktur, IKT-tjänster, offentlig förvaltning, rymd
    • Övriga kritiska (Annex II): post och kurir, avfallshantering, kemikalier, livsmedelsproduktion, tillverkning (medicinteknik, dator/elektronik, maskiner, fordon), digitala leverantörer, forskning

    Storlekströsklar

    Direktivet använder EU:s definition av medelstora företag som tröskel: 50+ anställda eller över 10 MEUR i omsättning OCH balansomslutning över 10 MEUR.

    Annex I-verksamheter över tröskeln klassas som väsentliga entiteter. Annex II-verksamheter över tröskeln klassas som viktiga entiteter. Vissa specifika verksamhetstyper omfattas oavsett storlek — t.ex. leverantörer av DNS-tjänster, TLD-registrar och betrodda tjänster.

    Leverantörskedjeansvaret

    Artikel 21.2(d) ställer krav på att omfattade entiteter bedömer och hanterar säkerheten i sin leverantörskedja. I praktiken innebär det att stora NIS2-kunder kommer kräva motsvarande säkerhetsnivå från sina leverantörer via avtal, oavsett om leverantören själv omfattas direkt.

    Det innebär att även IT-leverantörer, konsultbolag och produktbolag som inte når storlekströskeln ofta möter NIS2-krav i kundavtal — och behöver kunna visa dokumenterad efterlevnad för att vinna eller behålla affärer.

    Läs också om det svenska genomförandet av NIS2 i cybersäkerhetslagen.

    Vanliga frågor

    Frågor och svar

    Inte direkt, om ni inte är en av de få verksamhetstyper som omfattas oavsett storlek. Men leverantörskedjeansvaret kan göra att era kunder ändå ställer motsvarande krav.

    Det avgörs av sektor enligt Annex I (väsentlig) eller Annex II (viktig). Följ anvisningarna på ncsc.se för bedömning och verksamhetsanmälan.

    Omfattade verksamheter ska anmäla sig enligt cybersäkerhetslagen. Följ anvisningarna för verksamhetsanmälan på ncsc.se.

    Vill ni ha det här hanterat åt er?

    Vi går igenom er nuvarande miljö, visar vad som saknas och vad det skulle kosta att driva det som en opererad tjänst. Genomgången är kostnadsfri och utan åtaganden.

    Boka kostnadsfri genomgångBygg din lösning

    Vi använder nödvändiga kakor för att webbplatsen ska fungera. Analys- och marknadsföringskakor används bara om du samtycker. Läs mer i vår integritetspolicy.