Er din virksomhed omfattet af NIS2 – og hvor langt er I med sikkerheden?

Sandsynligvis omfattet direkte

I er sandsynligvis omfattet direkte af NIS 2-loven.

Det betyder, at I skal registrere jer hos den myndighed, der har ansvaret for jeres sektor, indføre sikkerhedsforanstaltninger på de ti områder herunder og anmelde væsentlige hændelser – første varsling inden for 24 timer. Ledelsen har ansvaret og skal selv deltage i uddannelse. Om I er "væsentlig" eller "vigtig" enhed afhænger af sektor og størrelse og afgør tilsynets omfang – det er et af de punkter, vi afklarer i SMV-klar: NIS2.

Forbehold: Testen bygger på jeres egne oplysninger og erstatter ikke en konkret vurdering. Er I i tvivl, kontakt jeres sektormyndighed.

Sandsynligvis omfattet – via jeres sektors særlov

I er sandsynligvis omfattet af NIS2-krav – men gennem jeres sektors egen lovgivning.

Virksomheder inden for energi, tele og dele af den finansielle sektor er omfattet af NIS2-krav gennem særlove – fx lov om styrket beredskab i energisektoren, lov om sikkerhed og beredskab i telesektoren eller lov om finansiel virksomhed – i stedet for NIS 2-loven (NIS 2-lovens § 1, stk. 2). Kravene til sikkerhed og hændelsesrapportering ligner hinanden, men tilsyn og frister følger særloven. Kontakt jeres sektormyndighed for en præcis vurdering.

Forbehold: Testen bygger på jeres egne oplysninger og erstatter ikke en konkret vurdering.

Omfattet gennem kunder

I er ikke selv omfattet – men jeres kunder er, og de skal stille krav til jer.

Loven pålægger omfattede virksomheder at styre sikkerheden i deres leverandørkæde. Derfor vil I møde spørgeskemaer, kontraktkrav og måske krav om dokumentation. Det, der afgør, om I beholder kunden, er, om I kan svare "ja – og her er beviset". De ti spørgsmål i del B er præcis det, kunderne spørger om.

Ikke omfattet

I er ikke omfattet af NIS2 – hverken direkte eller gennem kunder, så vidt vi kan se.

Det er godt nyt, og I behøver ikke købe noget af os for NIS2's skyld. Men de ti spørgsmål i del B er stadig de mest almindelige huller hos små virksomheder. Brug resultatet herunder som jeres egen tjekliste.

Rød

Sikkerheden hviler på held.

I har få eller ingen af de grundlæggende tiltag på plads. Det er ikke usædvanligt for en lille virksomhed, men det er dyrt den dag, det går galt – og det er umuligt at svare ja til en kundes spørgeskema.

Start her:

To-faktor på mail og bank, backup adskilt fra systemerne og egne logins til alle kan I gøre selv på en uge. SMV-klar: NIS2 Basis giver jer politikken, risikovurderingen og tjeklisten, så resten følger i rækkefølge.

Gul

I har gjort det vigtigste – men ikke skrevet det ned.

Det tekniske er typisk på plads hos jer; det, der mangler, er politik, risikovurdering og dokumentation – og det er netop det, kunder og myndigheder beder om.

Det vigtigste at gøre nu:

SMV-klar: NIS2 Basis giver jer dokumenterne; Plus giver medarbejderne kursusbevis og en beredskabsplan.

Grøn

I er godt kørende.

I har både teknikken og papirerne. Det, der er tilbage, er at holde det ved lige: årlig test, undervisning af nye medarbejdere og opdatering af leverandørlisten.

Det, I kan gøre bedre:

SMV-klar: NIS2 holder dokumenterne opdaterede og minder jer om de årlige punkter.