Slik fungerer virkeområdet for NIS2
Tre spørsmål avgjør det (direktiv (EU) 2022/2555, art. 2-3):
- Sektor. Er typen enhet oppført i vedlegg I (energi, transport, bank, infrastruktur for finansmarkedene, helse, drikkevann og avløpsvann, digital infrastruktur, forvaltning av IKT-tjenester, offentlig forvaltning, romvirksomhet) eller vedlegg II (post, avfall, kjemikalier, mat, produksjon av medisinsk utstyr, elektronikk, elektrisk utstyr, maskiner, kjøretøy og annet transportutstyr, digitale tilbydere, forskning)?
- Størrelse. Er dere minst et mellomstort foretak etter rekommandasjon 2003/361/EF?
- Unntak. Noen enheter omfattes uansett størrelse, og medlemsstatene kan legge til flere.
Størrelsesgrenser
| Kategori | Ansatte | og omsetning | eller balanse | Virkning etter NIS2 (hvis i en sektor i vedleggene) |
|---|---|---|---|---|
| Mikro | < 10 | ≤ EUR 2 mill. | ≤ EUR 2 mill. | Utenfor, med mindre uavhengig av størrelse |
| Lite | < 50 | ≤ EUR 10 mill. | ≤ EUR 10 mill. | Utenfor, med mindre uavhengig av størrelse |
| Middels | < 250 | ≤ EUR 50 mill. | ≤ EUR 43 mill. | Viktig (vedlegg I og II) |
| Stort | Over grensene for mellomstore foretak | Vesentlig (vedlegg I), viktig (vedlegg II) | ||
Grensen for ansatte gjelder alltid; for pengene må du holde deg innenfor enten grensen for omsetning eller grensen for balanse. Et selskap med 40 ansatte, EUR 12 millioner i omsetning og en balanse på EUR 8 millioner er fortsatt lite. Et selskap med 40 ansatte og EUR 12 millioner på begge er mellomstort og omfattes hvis sektoren er oppført. En kategori endres bare når grensene overskrides i to regnskapsperioder på rad (vedlegget art. 4 nr. 2).
Omfattes uavhengig av størrelse
- Alltid vesentlige: kvalifiserte tillitstjenesteytere, toppdomeneregistre og tilbydere av DNS-tjenester (art. 3 nr. 1 bokstav b); enheter i sentralforvaltningen (art. 3 nr. 1 bokstav d); kritiske enheter etter CER-direktivet (art. 3 nr. 1 bokstav f).
- Omfattes uansett størrelse: tilbydere av offentlige elektroniske kommunikasjonsnett eller -tjenester (vesentlige fra mellomstor størrelse, art. 3 nr. 1 bokstav c) og ikke-kvalifiserte tillitstjenesteytere (art. 2 nr. 2 bokstav a).
- Utpekt av medlemsstaten: eneste tilbydere av en vesentlig tjeneste, eller enheter der en forstyrrelse ville ramme offentlig sikkerhet, trygghet eller helse, skape systemisk risiko eller ha særlig betydning nasjonalt eller regionalt (art. 2 nr. 2 bokstav b-e).
- Tjenester for registrering av domenenavn omfattes for pliktene knyttet til registreringsdata i artikkel 28 (art. 2 nr. 4).
Vesentlig eller viktig: hva som endres
Begge kategoriene må gjennomføre risikostyringstiltakene i artikkel 21, få ledelsesorganet til å godkjenne og føre tilsyn med dem (art. 20) og rapportere vesentlige hendelser (art. 23). Forskjellen ligger i tilsyn og bøter. Vesentlige enheter er underlagt proaktivt tilsyn (art. 32) og risikerer bøter på minst opptil EUR 10 millioner eller 2 % av global omsetning; viktige enheter er underlagt etterfølgende tilsyn (art. 33) med bøter på minst opptil EUR 7 millioner eller 1,4 % (art. 34). Finansielle enheter under DORA følger DORA for IKT-risiko og hendelsesrapportering (art. 4).
Utenfor virkeområdet, men får fortsatt spørsmål
Artikkel 21 nr. 2 bokstav d gjør NIS2-enheter ansvarlige for sikkerheten i leverandørkjeden sin. Regn med sikkerhetsspørreskjemaer, kontraktsklausuler og revisjonsrettigheter fra kunder som omfattes, særlig hvis du leverer IT, programvare, hosting eller komponenter. Har du retningslinjene, ISO 27001-statusen og hendelsesprosessen dokumentert, sparer du dager per spørreskjema.
Merknader per land
- Nederland: Cyberbeveiligingswet i kraft siden 15. august 2026 (Rijksoverheid); registrering via MijnNCSC; offisiell egensjekk fra NCSC. Fordypning: Valt mijn organisatie onder de Cbw?
- Italia: D.Lgs. 138/2024, i kraft siden 16. oktober 2024, med ekstra kategorier i vedlegg III og IV; årlig registrering på ACN-portalen mellom 1. januar og 28. februar. Fordypning: La NIS2 si applica alla mia azienda?
- Belgia: NIS2-loven av 26. april 2024, i kraft siden 18. oktober 2024, med tilsyn fra CCB; vesentlige enheter hadde en første frist for samsvarsvurdering 18. april 2026 (via CyFun eller ISO/IEC 27001).
- Tyskland: NIS2UmsuCG (BGBl. 2025 I Nr. 301) i kraft siden 6. desember 2025; registrering hos BSI; se BSIs FAQ.
Hva som kan endres
Den 20. januar 2026 foreslo Kommisjonen målrettede endringer i NIS2, blant annet en kategori for «små mid-cap-selskaper» (færre enn 750 ansatte og omsetning opptil EUR 150 millioner eller balanse opptil EUR 129 millioner) som høyst kan være viktige enheter. Per 1. oktober 2026 er dette et forslag i lovgivningsprosessen; sjekken bruker det gjeldende direktivet.
Kun veiledende, ikke juridisk rådgivning. Nasjonale gjennomføringer kan legge til sektorer eller enheter, og den kompetente myndigheten din avgjør utpeking og registrering.