Gjelder NIS2 for deg?
Svar på 4 spørsmål og få et raskt svar.
Vil du først vite hva som gjelder i dag? Les om NIS2 i Norge og digitalsikkerhetsloven.
Hvilken sektor passer best for virksomheten?
Slik fungerer omfangssjekken
Sjekken stiller fire spørsmål: sektor, antall ansatte, omsetning og balansesum, og om dere leverer til virksomheter i sektorene. Svarene vurderes mot to regelverk hver for seg:
- NIS2-direktivet. Sektorene i direktivets vedlegg I og II og størrelsesgrensene. NIS2 er ikke norsk lov ennå, så dette svaret gjelder hva som trolig skjer når direktivet blir gjennomført i Norge.
- Digitalsikkerhetsloven. Loven som gjelder i Norge i dag. Den bygger på det første NIS-direktivet og gjelder bare virksomhetene som er omfattet etter digitalsikkerhetsforskriften §§ 1 og 2.
Svarene lagres bare i nettleseren din. Sjekken gir en pekepinn, ikke en juridisk vurdering.
Hvem gjelder NIS2 for?
To ting avgjør: sektor og størrelse. Direktivet lister 18 sektorer, blant annet energi, transport, helse, digital infrastruktur, forvaltning av IKT-tjenester, avfall, mat og produksjon. Hovedregelen er at det gjelder mellomstore og store virksomheter i disse sektorene, altså virksomheter med minst 50 ansatte, eller med både omsetning og balansesum over 10 millioner euro. Noen er omfattet uansett størrelse.
Hele gjennomgangen står i oversikten over hvem NIS2 gjelder for. Hva direktivet krever, er forklart i guiden om NIS2-direktivet.
Hva betyr resultatet?
Resultatet har to deler. Den første gjelder digitalsikkerhetsloven i dag:
- Trolig omfattet i dag: dere leverer en digital tjeneste etter loven § 9 og er over størrelsesgrensen i forskriften § 2.
- Sjekk listen: svarene avgjør det ikke alene. Listen i forskriften §§ 1 og 2 viser hvilke virksomheter i sektoren deres som er omfattet.
- Trolig ikke omfattet i dag: loven treffer dere sannsynligvis ikke.
Den andre delen gjelder NIS2, når direktivet blir gjennomført i Norge:
- Trolig omfattet av NIS2: sektor og størrelse treffer. Et godt neste steg er å kartlegge hvor dere står mot de ti tiltakene i artikkel 21.
- Mulig omfattet av NIS2: svarene avgjør ikke spørsmålet alene, for eksempel fordi størrelsen er uklar, fordi noen virksomheter er omfattet uansett størrelse, eller fordi dere leverer til virksomheter i sektorene. Da handler det om krav fra kundene, ikke om at dere selv er omfattet.
- Trolig ikke omfattet av NIS2: direktivet treffer dere sannsynligvis ikke direkte. Kunder som er omfattet, kan likevel stille krav, se hva NIS2 betyr for underleverandører.
Ofte stilte spørsmål
Hvorfor får vi to svar, ett for i dag og ett for NIS2?
Fordi det er to ulike regelverk. Digitalsikkerhetsloven gjelder i Norge i dag og bygger på det første NIS-direktivet. Den treffer bare virksomhetene som er omfattet etter digitalsikkerhetsforskriften §§ 1 og 2. NIS2 er ikke norsk lov ennå, og svaret om NIS2 viser hva som trolig gjelder når direktivet blir gjennomført. En virksomhet kan være utenfor loven i dag og likevel bli omfattet av NIS2.
Er vi omfattet hvis vi leverer til en virksomhet som er omfattet?
Ikke bare fordi dere leverer til dem. Det som avgjør, er om dere selv er i en av sektorene og over størrelsesgrensen. Leverer dere for eksempel administrerte IKT-tjenester, er dere selv i en NIS2-sektor. Virksomheter som er omfattet, må ivareta sikkerheten i leverandørkjeden, og stiller derfor ofte krav til leverandørene sine, også til leverandører som ikke selv er omfattet av direktivet.
Hvor finner vi omsetningen og balansesummen?
Begge står i årsregnskapet. Balansesummen er summen av eiendelene. For aksjeselskaper finnes regnskapet hos Brønnøysundregistrene, og økonomiavdelingen eller regnskapsføreren har tallene. Er dere del av et konsern, regnes tall for andre selskaper i konsernet med. Er dere usikre, velg «Vet ikke» i sjekken, så tar svaret høyde for det.