Status
Først: norsk virkeområde er ikke endelig
Forbehold/status: NIS2-direktivet angir sektor- og størrelseskriterier i EU. Norge planlegger å gjennomføre NIS2 og CER i ny lov. Det endelige norske virkeområdet kan få nasjonale presiseringer, så denne sjekklisten er en kvalifisert førstevurdering, ikke en endelig rettslig konklusjon.
Annex I og II
Sektorer som typisk må vurderes
| Annex | Sektorer | Praktisk norsk eksempel |
|---|---|---|
| Annex I | Energi, transport, bank, finansmarkedsinfrastruktur, helse, drikkevann, avløpsvann, digital infrastruktur, IKT-tjenesteforvaltning, offentlig forvaltning og romvirksomhet. | Datasenter, forvaltede IKT-tjenester (MSP/MSSP), skyleverandør, sykehus, vannverk eller energiselskap. Tjenestetypen må vurderes mot vedleggene. |
| Annex II | Post og kurér, avfall, kjemikalier, mat, produksjon av visse varer, digitale tilbydere og forskning. | Matprodusent, forskningsorganisasjon, digital markedsplass, produsent av medisinsk utstyr eller maskiner. |
Størrelse
Tersklene: 50/250 ansatte og omsetning/balanse
Hovedregelen bruker EUs virksomhetsdefinisjon. Antall ansatte må ses sammen med omsetning eller balansesum. En liten virksomhet har færre enn 50 ansatte og enten omsetning eller balansesum på høyst EUR 10 millioner. Det er ikke nok å overskride bare omsetningsgrensen dersom balansesummen er innenfor. Opplysninger om partner- og tilknyttede virksomheter kan måtte regnes med.
| Kategori | Ansatte | Omsetning | Balanse |
|---|---|---|---|
| Liten virksomhet | Færre enn 50 | Høyst EUR 10 mill. | Eller høyst EUR 10 mill. |
| Mellomstor virksomhet | Færre enn 250, og ikke liten | Høyst EUR 50 mill. | Eller høyst EUR 43 mill. |
| Stor virksomhet | Minst 250, eller begge økonomiske grenser overskredet | Over EUR 50 mill. | Og over EUR 43 mill. |
Eksempel: En selvstendig virksomhet med 20 ansatte, EUR 12 millioner i omsetning og EUR 2 millioner i balansesum kan fortsatt være liten. Gruppestruktur og regnskapsperioder må kontrolleres før størrelsen fastslås. Se EU-kommisjonens virksomhetsdefinisjon.
Små virksomheter kan omfattes gjennom særregler for bestemte tjenester. Leverandører utenfor direkte virkeområde kan få sikkerhetskrav fra kunder.
Vesentlig vs viktig
Hva betyr "vesentlig" og "viktig" enhet?
NIS2 skiller mellom essential entities og important entities. Begge kategorier får krav til sikkerhetstiltak og hendelsesrapportering. Forskjellen ligger særlig i tilsynsregime, prioritet og sanksjonsnivå. I praksis bør begge grupper bygge samme grunnmur: styring, risiko, hendelser, leverandører, opplæring og dokumentasjon.
Leverandørkjede
Ikke omfattet, men likevel truffet
Dette er den kommersielt viktigste delen for mange SMBer: dere kan være utenfor direkte virkeområde, men likevel måtte dokumentere sikkerhet fordi en kunde er omfattet. Da kommer kravene ofte som sikkerhetsbilag, spørreskjema, revisjonsrett, hendelsesfrister, krav til MFA, logging, beredskap og underleverandørkontroll.
Leverer dere til kritiske kunder?
Les den egne guiden om NIS2 og leverandørkjeden før dere svarer på nye sikkerhetskrav i anbud.
Finans
DORA kan gå foran for finans
For finanssektoren er DORA et spesialregelverk for digital operasjonell motstandsdyktighet. Der DORA regulerer samme forhold for finansforetak, må virksomheten vurdere DORA som lex specialis. NIS2 er fortsatt relevant for verdikjede og tilgrensende aktører, men finans bør ikke lese NIS2 isolert.
Vil du ha en konkret vurdering?
SPADE kan avklare sektor, størrelse, direkte/indirekte krav og hvilke tiltak som faktisk bør prioriteres.