Hvad kræver NIS2 af en mindre virksomhed?
Er I en lille virksomhed, kræver NIS2 som hovedregel intet direkte. Loven gælder især mellemstore og store virksomheder i udvalgte sektorer. Men leverer I til en virksomhed, der er omfattet, vil den stille krav til jer om sikkerhed, adgang, backup og besked ved hændelser. Nordisk Software er et dansk softwarehus, der bygger skræddersyede systemer, integrationer og salgsværktøjer til mindre virksomheder til fast pris.
NIS2 er EU's regler om cybersikkerhed, og de gælder nu også i Danmark. Mange ejere af mindre virksomheder har fået en mail, et spørgeskema eller et nyt kontraktbilag om NIS2 og er usikre på, om de selv er omfattet. Her er en forklaring uden fagsprog: hvem loven gælder for, hvad den kræver, og hvorfor de fleste små virksomheder mærker den gennem deres kunder frem for gennem myndighederne. Det er ikke juridisk rådgivning. Er I i tvivl, så brug myndighedernes vejledninger på virk.dk eller spørg en rådgiver.
Opdateret
Hvem er omfattet af NIS2?
To ting afgør det: jeres sektor og jeres størrelse. Loven dækker sektorer, som samfundet er afhængigt af, for eksempel energi, transport, sundhed, drikkevand, affald, post, fødevarer, kemikalier, dele af fremstillingsindustrien og digitale tjenester som hosting og drift af it for andre. Inden for de sektorer gælder den som udgangspunkt kun for mellemstore og store virksomheder. Små virksomheder er som hovedregel undtaget, men der er undtagelser, for eksempel hvis I er den eneste udbyder af en vigtig tjeneste, eller hvis I leverer bestemte digitale tjenester. Omfattede virksomheder skal selv registrere sig hos myndighederne. Brug den officielle vejledning til at tjekke jeres egen situation, frem for at gætte.
Hvad loven kræver, hvis I er omfattet
Kravene handler mere om ledelse og arbejdsgange end om teknik. Ledelsen skal godkende jeres sikkerhedstiltag, holde øje med, at de bliver fulgt, og selv have viden nok til at forstå risikoen, og den kan stilles til ansvar. I skal vurdere jeres risici og have styr på det grundlæggende: hvem der har adgang til hvad, totrinslogin, backup der faktisk kan genskabes, opdateringer, kryptering, uddannelse af medarbejderne og en plan for, hvordan forretningen kører videre, hvis systemerne går ned. I skal også stille krav til jeres egne leverandører. Bliver I ramt af en alvorlig hændelse, skal den meldes til myndighederne inden for korte frister og i flere trin.
Når kunderne stiller kravene i stedet
For de fleste mindre virksomheder er det her, NIS2 rammer. En omfattet virksomhed skal sikre sin leverandørkæde, så den sender kravene videre til jer i spørgeskemaer og kontrakter. Spørgsmålene er næsten altid de samme: Bruger I totrinslogin? Har I backup, og har I prøvet at genskabe den? Hvem har adgang til kundens data? Opdaterer I jeres systemer? Hvem giver besked, og hvor hurtigt, hvis noget går galt? Det kan klares med standardværktøjer og klare aftaler, ikke med nyt software. Skriv svarene ned én gang, så I kan genbruge dem. Har I egne systemer, så tjek, at de kan styre adgang pr. bruger og vise, hvem der har gjort hvad.
| Jeres situation | Omfattet direkte? | Hvad I typisk skal gøre |
|---|---|---|
| Lille virksomhed uden for de udvalgte sektorer | Nej | Intet efter loven, men god grundsikkerhed betaler sig alligevel |
| Lille virksomhed, der leverer til omfattede kunder | Som regel nej | Svare på kundernes krav om adgang, backup, opdateringer og besked ved hændelser |
| Mellemstor virksomhed i en udvalgt sektor | Ja, som udgangspunkt | Registrere jer, lave risikovurdering, indføre sikkerhedstiltag og kunne melde hændelser |
| Leverandør af drift, hosting eller it for andre | Ofte, afhængigt af størrelse og tjeneste | Tjekke vejledningen nøje, da digitale tjenester har særlige regler |
Bedst til
- Bedst til ejere af mindre virksomheder, der har fået et NIS2-spørgeskema fra en kunde og vil vide, hvad der faktisk bliver spurgt om
- Bedst til virksomheder, der er ved at vokse og skal finde ud af, om sektor og størrelse snart gør dem omfattet
- Ikke det rigtige at købe nyt software for at blive klar til NIS2, hvis I mangler det grundlæggende - start med totrinslogin, backup, opdateringer og klare aftaler
Spørgsmål, vi ofte får
Hvordan finder vi ud af, om vi er omfattet?
Tjek først, om jeres aktiviteter hører til en af de sektorer, loven nævner, og derefter om I er mellemstore eller store efter EU's definition. Myndighederne har vejledninger om NIS2 på virk.dk. Er I stadig i tvivl, så spørg en rådgiver eller jeres brancheorganisation.
Kan vi blive straffet, selvom vi ikke er omfattet?
Ikke efter NIS2. Men har I skrevet under på en kontrakt med NIS2-krav, er det kontrakten, der binder jer. Lever I ikke op til den, kan I miste kunden eller komme til at hæfte efter aftalen, så læs bilagene, før I skriver under.
Hvad har NIS2 med GDPR at gøre?
GDPR beskytter personoplysninger, mens NIS2 handler om, at virksomheden kan holde driften kørende og sikker. Meget overlapper dog, for eksempel adgangsstyring, backup og besked ved brud. Har I styr på sikkerheden efter GDPR, er I et godt stykke på vej.
Timelæk-diagnosen
En halv time på jeres hverdag: hvor timerne går hen, og hvilke opgaver et system kan overtage. Ingen salgstale, ingen forpligtelse - og I går fra mødet med noget på skrift, uanset hvad I beslutter.
30 minutter · online · I får en rapport med hjem