min kunde spørger, om jeg falder ind under NIS2, hvad skal jeg svare

Direkte fald under NIS2 er normalt ikke relevant

For de fleste leverandører er svaret nej: du falder ikke selv under Cybersikkerhedsloven, den danske gennemførelse af NIS2. Denne lov retter sig mod organisationer i specifikke sektorer og over visse størrelsesgrænsemærker — energi, transport, digital infrastruktur, sundhedsvæsen og flere andre. Hvis du ikke falder ind under dette, er "nej" et faktisk korrekt svar på det ordret stillede spørgsmål. Hvis du selv befinder dig i en af disse sektorer, eller hvis du er en mellemstor eller stor virksomhed i sådan en kæde, kan svaret være "ja" — det afgør du på baggrund af sektor- og størrelseskriterier, ikke på baggrund af hvad din kunde spørger.

Det, din kunde i praksis søger efter, er ikke så meget din juridiske status, men snarere om du som led i hans kæde udgør en risiko. Derfor kommer dette spørgsmål ofte sammen med spørgsmål om de ti foranstaltninger i artikel 21, stk. 2: adgangspolitik, hændelsesrespons, kontinuitet, sårbarhedsstyring. Selvom du selv falder uden for lovens anvendelsesområde, kan din kunde stille disse krav til dig via kontrakten — det er så et kontraktmæssigt krav, ikke en juridisk forpligtelse for dig. Kontrollér i så fald om virksomheden selv falder under NIS2-direktivet uafhængigt af hvad din kunde spørger, og besvar desuden det underliggende spørgsmål om sikkerhedskrav til egne leverandører er fastlagt — ofte er det det spørgsmål, der ligger til grund.

Retsgrundlag: sektor- og størrelseskriterier i direktivet

Anvendelsesområdet følger af bilagene til Direktiv (EU) 2022/2555, som for hver sektor angiver, hvilke enheder der falder ind under "vigtig" eller "kritisk" klassifikation, kombineret med størrelsesgrænsemærkerne i artikel 2. Cybersikkerhedsloven gennemfører dette ét til ét og træder i kraft den 15. august 2026; indtil da er der intet nationalt retsgrundlag for ikke-udpegede sektorer til at falde uden for loven. Hvis du er usikker på din egen sektorkategorisering, er direktivteksten selv den første kilde til at konsultere, ikke kundens spørgeskema.