Falder virksomheden selv ind under NIS2-direktivet eller den nationale gennemførelse heraf?

Sektor og størrelse bestemmer sammen resultatet

Om virksomheden er omfattet af cybersikkerhedsloven, afhænger af to ting: den sektor, hvori den er aktiv, og dens størrelse. Loven arbejder med en liste over sektorer — blandt andet energi, transport, drikkevand, digital infrastruktur, sundhedsvæsen og en række industrielle og digitale tjenester — og inden for disse sektorer er der en opdeling efter størrelse: mellemstore eller større tæller som regel med, hvor antallet af medarbejdere og årlig omsætning eller balancetotal er målestok. Hvis virksomheden falder uden for de udpegede sektorer, er cybersikkerhedsloven normalt ikke applicable, uanset størrelse.

Der er to aspekter, der ofte bliver forvekslet. Det første er: falder virksomheden direkte ind under den, som såkaldt væsentlig eller vigtig enhed. Det andet er: bliver den indirekte påvirket af den, fordi en kunde, der selv er omfattet af loven, stiller krav videre i kæden. Sidstnævnte kan også gælde for virksomheder, der er for små eller ligger i en ikke-udpeget sektor. Dette søgespørgsmål omhandler det første aspekt — den direkte forpligtelse — og svaret herpå står ikke fast, så længe den endelige tekst og den tilhørende sektorliste ikke er kontrolleret på navn og tal for virksomhedens eget forhold. Den, der allerede har besvaret det spørgsmål sikkert — med eller uden direkte forpligtelse — møder i praksis dog ofte de samme spørgsmål, når en kunde spørger om det, for eksempel om der er politikker for risikovurdering og sikringen af informationssystemer eller om multifaktor-godkendelse er etableret.

Hvor det fremgår: sektor- og størrelseskriterierne

Denne opdeling følger af cybersikkerhedsloven, den danske omfang af NIS2, som træder i kraft den 15. august 2026. Loven selv, med bilagene hvori sektorer og størrelsestærskler fremgår, er den rette kilde til at vurdere egen virksomhed på; denne tekst findes på wetten.overheid.nl.