Sådan fungerer NIS2's anvendelsesområde
Tre spørgsmål afgør det (direktiv (EU) 2022/2555, art. 2-3):
- Sektor. Er din enhedstype opført i bilag I (energi, transport, bankvirksomhed, finansielle markedsinfrastrukturer, sundhed, drikke- og spildevand, digital infrastruktur, forvaltning af IKT-tjenester, offentlig forvaltning, rummet) eller bilag II (post, affald, kemikalier, fødevarer, fremstilling af medicinsk udstyr, elektronik, elektrisk udstyr, maskiner, køretøjer og andet transportudstyr, digitale udbydere, forskning)?
- Størrelse. Er du mindst en mellemstor virksomhed efter henstilling 2003/361/EF?
- Undtagelser. Nogle enheder er omfattet uanset størrelse, og medlemsstaterne kan tilføje flere.
Størrelsestærskler
| Kategori | Ansatte | og omsætning | eller balance | Virkning efter NIS2 (hvis i en sektor i bilagene) |
|---|---|---|---|---|
| Mikro | < 10 | ≤ EUR 2 mio. | ≤ EUR 2 mio. | Uden for, medmindre uanset størrelse |
| Lille | < 50 | ≤ EUR 10 mio. | ≤ EUR 10 mio. | Uden for, medmindre uanset størrelse |
| Middel | < 250 | ≤ EUR 50 mio. | ≤ EUR 43 mio. | Vigtig (bilag I og II) |
| Stor | Overstiger lofterne for mellemstore | Væsentlig (bilag I), vigtig (bilag II) | ||
Loftet for ansatte gælder altid; for de økonomiske tal skal du holde dig inden for enten loftet for omsætning eller for balance. En virksomhed med 40 ansatte, EUR 12 mio. i omsætning og en balance på EUR 8 mio. er stadig lille. En med 40 ansatte og EUR 12 mio. i begge er mellemstor og omfattet, hvis dens sektor er opført. En kategori ændres kun, når lofterne overskrides i to på hinanden følgende regnskabsperioder (bilagets art. 4, stk. 2).
Omfattet uanset størrelse
- Altid væsentlige: kvalificerede tillidstjenesteudbydere, TLD-navneregistre og udbydere af DNS-tjenester (art. 3, stk. 1, litra b); enheder i den centrale offentlige forvaltning (art. 3, stk. 1, litra d); kritiske enheder efter CER-direktivet (art. 3, stk. 1, litra f).
- Omfattet i alle størrelser: udbydere af offentlige elektroniske kommunikationsnet eller -tjenester (væsentlige fra mellemstor, art. 3, stk. 1, litra c) og ikke-kvalificerede tillidstjenesteudbydere (art. 2, stk. 2, litra a).
- Udpeget af medlemsstaten: eneste udbydere af en væsentlig tjeneste eller enheder, hvis afbrydelse ville ramme den offentlige sikkerhed eller sundhed, skabe systemisk risiko eller have særlig betydning på nationalt eller regionalt niveau (art. 2, stk. 2, litra b-e).
- Tjenester til registrering af domænenavne er omfattet for pligterne vedrørende registreringsdata i artikel 28 (art. 2, stk. 4).
Væsentlig eller vigtig: hvad ændrer sig
Begge kategorier skal træffe risikostyringsforanstaltningerne i artikel 21, have ledelsesorganet til at godkende og føre tilsyn med dem (art. 20) og indberette væsentlige hændelser (art. 23). Forskellen er tilsyn og bøder. Væsentlige enheder er under proaktivt tilsyn (art. 32) og risikerer bøder på mindst op til EUR 10 mio. eller 2 % af den globale omsætning; vigtige enheder er under efterfølgende tilsyn (art. 33) med bøder på mindst op til EUR 7 mio. eller 1,4 % (art. 34). Finansielle enheder under DORA følger DORA for IKT-risiko og indberetning af hændelser (art. 4).
Uden for anvendelsesområdet, men alligevel spurgt
Artikel 21, stk. 2, litra d, gør NIS2-enheder ansvarlige for sikkerheden i deres forsyningskæde. Forvent sikkerhedsspørgeskemaer, kontraktklausuler og auditrettigheder fra kunder, der er omfattet, især hvis du leverer IT, software, hosting eller komponenter. Har du dine politikker, din ISO 27001-status og din hændelsesproces dokumenteret, sparer du dage pr. spørgeskema.
Landenoter
- Holland: Cyberbeveiligingswet i kraft siden 15. august 2026 (Rijksoverheid); registrering via MijnNCSC; officielt selvtjek fra NCSC. Uddybning: Valt mijn organisatie onder de Cbw?
- Italien: D.Lgs. 138/2024, i kraft siden 16. oktober 2024, med ekstra kategorier i bilag III og IV; årlig registrering på ACN-portalen mellem 1. januar og 28. februar. Uddybning: La NIS2 si applica alla mia azienda?
- Belgien: NIS2-loven af 26. april 2024, i kraft siden 18. oktober 2024, under tilsyn af CCB; væsentlige enheder havde en første frist for overensstemmelsesvurdering den 18. april 2026 (via CyFun eller ISO/IEC 27001).
- Tyskland: NIS2UmsuCG (BGBl. 2025 I Nr. 301) i kraft siden 6. december 2025; registrering hos BSI; se BSI's FAQ.
Hvad der kan ændre sig
Den 20. januar 2026 foreslog Kommissionen målrettede ændringer af NIS2, herunder en kategori for "små mid-cap-virksomheder" (færre end 750 ansatte og omsætning op til EUR 150 mio. eller balance op til EUR 129 mio.), hvis medlemmer højst kan være vigtige enheder. Pr. 1. oktober 2026 er det et forslag i lovgivningsprocessen; tjekket anvender det gældende direktiv.
Kun vejledende, ikke juridisk rådgivning. National gennemførelse kan tilføje sektorer eller enheder, og din kompetente myndighed træffer afgørelse om udpegning og registrering.