Omfattas företaget av NIS2-direktivet eller dess nationella genomförande?

Sektor och storlek tillsammans avgör resultatet

Huruvida företaget omfattas av Cybersäkerhetlagen beror på två saker: den sektor i vilken det är verksamt och dess storlek. Lagen använder sig av en lista över sektorer — bland annat energi, transport, dricksvattenförsörjning, digital infrastruktur, hälso- och sjukvård och ett antal industriella och digitala tjänster — och inom dessa sektorer finns en indelning efter storlek: medelstort eller större räknas i regel in, med antalet anställda och årlig omsättning eller balansomslutning som mätning. Om företaget ligger utanför de utsedda sektorerna gäller Cybersäkerhetlagen vanligtvis inte, oavsett storlek.

Det finns två aspekter som ofta förväxlas. Den första är: omfattas företaget direkt av lagen, som så kallad väsentlig eller viktig enhet. Den andra är: påverkas det indirekt genom att en kund som själv omfattas av lagen ställer krav i kedjan. Det senare kan också gälla företag som är för små eller finns i en sektor som inte är utsedd. Den här sökfrågan handlar om den första aspekten — den direkta skyldigheten — och svaret på den är fortfarande osäkert så länge som den slutliga texten och den tillhörande sektorlistan inte har kontrollerats mot det egna företagets namn och siffror. Den som redan har besvarat den frågan säkert — med eller utan direkt skyldighet — möter i praktiken ofta samma frågor när en kund frågar, till exempel om det finns policy för riskanalys och säkerhet för informationssystem eller om flerfaktorsautentisering har införts.

Var detta framgår: sektor- och storlekskriterierna

Denna indelning följer av Cybersäkerhetlagen, den nederländska genomförningen av NIS2, som träder i kraft den 15 augusti 2026. Lagen själv, med bilagorna där sektorer och storlekströsklar finns, är den lämplig källa för att jämföra sitt eget företag mot; denna text finns på wetten.overheid.nl.