Gjelder NIS2 for ditt EU-prosjekt?

Hvis noen har fortalt deg «bare sjekk om dere er i én av de 18 sektorene», har de gitt deg omtrent 20 % av svaret. Å avgjøre om NIS2 gjelder for EU-prosjektet ditt er genuint vanskelig, og vanskelighetsgraden er tilsiktet. Dette er enhets-siden av historien — produkt-siden behandles i Gjelder Cyber Resilience Act for ditt produkt? .

Tre ting gjør dette vanskeligere enn en typisk etterlevelsessjekk:

1. NIS2 regulerer enheter, ikke prosjekter. Direktivet gjelder for juridiske personer (et selskap, et byrå, en forening). Hvis «prosjektet» ditt er en produktlinje, et forskningskonsortium eller en digital tjeneste, er det relevante spørsmålet hvilken juridisk enhet som driver det, hvor den enheten er etablert, og hva den gjør. En enkelt enhet kan drive mange prosjekter; et enkelt prosjekt kan involvere mange enheter — og hver vurderes for seg.
2. Konsernstrukturer betyr noe — noen ganger. Størrelsestesten bruker EUs SMB-definisjon i Kommisjonsanbefaling 2003/361/EF , som krever at du aggregerer ansatt- og finansdata på tvers av partner- og tilknyttede virksomheter. To enheter som ser små ut isolert sett, kan være «mellomstore» etter konsolidering. Men for jurisdiksjon og registrering står hver juridisk person på egne ben.
3. NIS2 er et direktiv, ikke en forordning. Medlemsstatene måtte transponere det innen 17. oktober 2024 (Direktiv (EU) 2022/2555, Artikkel 41 ; Europakommisjonens sammendrag ), men mange bommet på fristen. Per tidlig 2026 varierer transponeringsstatus, registreringsportaler, justeringer i omfang og sanksjonsnivåer fortsatt betydelig mellom de 27 medlemsstatene — se ECSO NIS2 Transposition Tracker for det levende bildet. To identiske selskaper i Berlin og Brussel kan være i omfanget på ulike datoer, registrere seg hos forskjellige myndigheter og møte ulik «gold-plating».

Ikke stopp ved «er vi i en dekket sektor?» Gå gjennom hvert steg.

Beslutningstreet

flowchart TD
    Start([Start: vurder hver juridisk enhet separat]):::startNode --> S1{"Steg 1
Etablert i en
EU-medlemsstat?
Eller artikkel 26 1 b kategori
som tilbyr tjenester i EU
via en EU-representant?"}
    S1 -->|Nei| Out1["Utenfor direkte omfang
Følg med på leverandørkjede-
krav via EU-kunder"]:::outNode
    S1 -->|Ja| S2{"Steg 2
Aktivitet listet i
Vedlegg I eller Vedlegg II
i Direktiv EU 2022 2555?"}
    S2 -->|Nei| Out2["Utenfor direkte omfang
Sjekk nasjonale tillegg
og leverandørkjede-kaskade"]:::outNode
    S2 -->|Ja| S3{"Steg 3 og 4
Mellomstor eller større
ETTER konsernkonsolidering?
≥50 ansatte ELLER omsetning
ELLER balansetotal >€10M
per anb. 2003 361 EF
partner pro-rata + tilknyttet 100%"}
    S3 -->|Ja| S6{"Steg 6
Vedlegg I-sektor
OG stor virksomhet?"}
    S3 -->|Nei| S5{"Steg 5
Uavhengig av størrelse
under artikkel 2 2?
Tillitstjenester,
DNS, TLD, offentlig e-komm,
eneleverandør, CER-kritisk,
offentlig forvaltning"}
    S5 -->|Ja| S6
    S5 -->|Nei| OutSmall["Utenfor omfang
Liten eller mikrovirksomhet"]:::outNode
    S6 -->|Ja| Essential["ESSENSIELL ENHET
Ex-ante + ex-post tilsyn
Bøter ≥ €10M eller 2%
verdensomspennende årsomsetning"]:::essentialNode
    S6 -->|Nei| Important["VIKTIG ENHET
Ex-post tilsyn
Bøter ≥ €7M eller 1,4%
verdensomspennende årsomsetning"]:::importantNode
    Essential --> S7{"Steg 7
DORA eller annen
lex specialis gjelder?
Ekvivalens-test artikkel 4"}
    Important --> S7
    S7 -->|Ja| LexSpec["Sektorspesifikk rettsakt
fortrenger NIS2 substansforplikter
Registrering kan fortsatt gjelde"]:::actionNode
    S7 -->|Nei| S8["Steg 8
Identifiser medlemsstat,
tilsynsmyndighet og CSIRT
via nasjonal transponering"]:::actionNode
    LexSpec --> S8
    S8 --> S9["Steg 9
Registrer under artikkel 3
paragraf 3 og 4
pluss artikkel 27 hvis relevant"]:::actionNode
    S9 --> S10["Steg 10
Implementer artikkel 21-tiltak
Artikkel 23 hendelsesrapportering
24t tidlig varsel
72t varsling
1 måned sluttrapport"]:::actionNode
    S10 --> S11["Steg 11
Håndter bot-eksponering
under artikkel 34
Tren ledelsen artikkel 20"]:::actionNode

    classDef startNode fill:#e1f5fe,stroke:#01579b,stroke-width:2px,color:#000
    classDef outNode fill:#ffebee,stroke:#c62828,stroke-width:2px,color:#000
    classDef essentialNode fill:#ffe0b2,stroke:#e65100,stroke-width:3px,color:#000
    classDef importantNode fill:#fff9c4,stroke:#f57f17,stroke-width:2px,color:#000
    classDef actionNode fill:#e8f5e9,stroke:#2e7d32,stroke-width:1.5px,color:#000

Blå er inngangspunktet. Røde endepunkter betyr at enheten er utenfor direkte omfang (selv om leverandørkjede-kaskade fortsatt kan trekke NIS2-lignende krav gjennom kundekontrakter). Oransje markerer klassifisering som Essensiell enhet og det tyngre tilsyns- og sanksjonsregimet; gult markerer klassifisering som Viktig enhet. Grønne noder er de operative oppfølgingsstegene når omfanget er bekreftet. Diamanten merket «Steg 3 og 4» slår bevisst sammen den rene størrelsestesten med regelen om partner-/tilknyttet-konsolidering, fordi du i praksis må kjøre dem sammen — å svare på Steg 3 med frittstående tall før konsolidering er den enkeltvis vanligste feilen i omfangsvurdering.

Steg 1 — den geografiske og etableringstesten

Spørsmålet: Er enheten etablert i EU? Hvis ikke, tilbyr den likevel tjenester i omfanget i EU?

Regelen. Etter artikkel 26(1) i direktivet skal «enheter som omfattes av dette direktivet anses å falle under jurisdiksjonen til medlemsstaten der de er etablert», med tre unntak:

• (a) Tilbydere av offentlige elektroniske kommunikasjonsnett/-tjenester faller under jurisdiksjonen til medlemsstaten der de tilbyr tjenestene.
• (b) DNS-tjenestetilbydere, TLD-navneregistre, registrerings­tjenester for domenenavn, leverandører av nettskytjenester, datasentertjenester, innholdsleveringsnett, administrerte tjenester, administrerte sikkerhetstjenester, leverandører av nettbaserte markedsplasser, søkemotorer og sosiale nettverkstjenester faller under jurisdiksjonen til medlemsstaten for sin hovedetablering i Unionen.
• (c) Offentlige forvaltningsenheter faller under jurisdiksjonen til medlemsstaten som opprettet dem.

«Hovedetablering» er definert i artikkel 26(2) gjennom en kaskadetest: (i) medlemsstaten der beslutninger om cybersikkerhets-risikohåndtering fortrinnsvis tas; subsidiært (ii) der cybersikkerhets­operasjonen utføres; subsidiært (iii) der enheten har etableringen med flest ansatte i Unionen.

Hvis en tilbyder i kategori (b) ikke er etablert i Unionen, men tilbyr tjenester i Unionen, krever artikkel 26(3) at vedkommende utpeker en EU-representant i én av medlemsstatene der tjenestene tilbys. Enheten faller deretter under jurisdiksjonen til representantens medlemsstat. Kommisjonens forslag fra januar 2026 vil utvide denne plikten til å utpeke representant bredere til enhver essensiell eller viktig enhet som tilbyr tjenester i Unionen uten å være etablert der (COM(2026) 13-forslag ).

Merk også artikkel 2(7)–(8) i NIS2: direktivet gjelder ikke offentlige forvaltningsenheter som utfører aktiviteter innenfor nasjonal sikkerhet, offentlig sikkerhet, forsvar eller rettshåndhevelse, og berører ikke medlemsstatenes ansvar for å ivareta nasjonal sikkerhet (EUR-Lex konsolidert tekst ).

Beslutningspunkter

• Enheten har en juridisk etablering i minst én EU-medlemsstat. → Fortsett.
• Enheten er ikke EU-etablert, men er i én av de digitale/IKT-kategoriene i artikkel 26(1)(b) og tilbyr disse tjenestene i EU. → Den må utpeke en EU-representant; behandle representantens medlemsstat som hjemstaten og fortsett.
• Ingen av delene. → NIS2 pålegger ikke enheten direkte forpliktelser (selv om leverandørkjede-flyt til EU-kunder fortsatt kan drive kontraktsmessige cybersikkerhetskrav).

Steg 2 — bransjetesten (Vedlegg I og Vedlegg II)

Spørsmålet: Faller enhetens aktivitet inn under en undersektor listet i Vedlegg I (sektorer med høy kritikalitet) eller Vedlegg II (andre kritiske sektorer) i Direktiv (EU) 2022/2555?

Direktivet dekker totalt 18 sektorer — 11 i Vedlegg I og 7 i Vedlegg II (Europakommisjonen – NIS2-direktiv siden ; EUR-Lex sammendrag ).

Vedlegg I — sektorer med høy kritikalitet

1. Energi — elektrisitet (inkludert foretak, DSO-er, TSO-er, produsenter, NEMO-er, deltakere i aggregering/etterspørselsrespons/lagringsmarked), fjernvarme og fjernkjøling, olje (rørledninger, produksjon/raffinering/behandling, sentrale beholdninger), gass (forsyning, distribusjon, transmisjon, lagring, LNG), og hydrogen.
2. Transport — luft, jernbane, vann (sjø/innenlandske vannveier og havneoperatører) og vei.
3. Bank — kredittinstitusjoner som definert i EUs bankregelverk.
4. Finansmarkedsinfrastruktur — operatører av handelsplasser og sentrale motparter.
5. Helse — helsetjenestetilbydere, EU-referanselaboratorier, FoU innen legemidler, produsenter av grunnleggende farmasøytiske produkter og preparater, produsenter av kritisk medisinsk utstyr.
6. Drikkevann — leverandører og distributører av vann til menneskelig konsum.
7. Avløpsvann — foretak som samler inn, kasserer eller behandler urbant, husholdnings- eller industri-avløpsvann.
8. Digital infrastruktur — internett-utvekslingspunkter, DNS-tjenester, TLD-navneregistre, leverandører av nettskytjenester, datasentertjenester, innholdsleveringsnett, tillitstjenester, leverandører av offentlige elektroniske kommunikasjonsnett, leverandører av offentlig tilgjengelige elektroniske kommunikasjonstjenester.
9. IKT-tjenestehåndtering (B2B) — administrerte tjenestetilbydere (MSP-er) og administrerte sikkerhetstjenestetilbydere (MSSP-er).
10. Offentlig forvaltning — sentralforvaltningsenheter; regionale forvaltninger under visse vilkår; medlemsstater kan også ta lokale forvaltninger inn i omfanget.
11. Rom — operatører av bakkebasert infrastruktur som støtter rombaserte tjenester (unntatt tilbydere av offentlige elektroniske kommunikasjonsnett).

Vedlegg II — andre kritiske sektorer

12. Post- og budtjenester.
13. Avfallshåndtering (der dette er den primære økonomiske aktiviteten).
14. Produksjon og distribusjon av kjemikalier.
15. Produksjon, prosessering og distribusjon av mat.
16. Produksjon — av medisinsk utstyr og in vitro-diagnostisk medisinsk utstyr; av databaserte, elektroniske og optiske produkter; av elektrisk utstyr; av maskiner og utstyr ikke nevnt annet sted; av motorvogner, tilhengere og sertilhengere; av annet transportutstyr (NACE Rev. 2-referanser i vedlegget).
17. Digitale tilbydere — leverandører av nettbaserte markedsplasser, søkemotorer og sosiale nettverkstjenester.
18. Forskning — forskningsorganisasjoner hvis primære mål er å utføre anvendt forskning eller eksperimentell utvikling med sikte på kommersiell utnyttelse av resultatene (unntatt høyere utdanningsinstitusjoner).

Denne listen, inkludert undersektorene og enhetstypene som dekkes, er den autoritative referansen i Vedleggene til Direktiv (EU) 2022/2555 ; tredjeparts-sammendrag bør ikke legges til grunn hvis de er i konflikt med de offisielle vedleggene.

Beslutningspunkter

• Min aktivitet matcher en undersektor i Vedlegg I. → Sannsynligvis Essensiell hvis stor; Viktig hvis mellomstor (med mindre medlemsstaten utpeker annerledes). Fortsett.
• Min aktivitet matcher en undersektor i Vedlegg II. → Sannsynligvis Viktig. Fortsett.
• Ingen match i noen av vedleggene. → Du er utenfor direkte omfang, men vær oppmerksom på (i) nasjonale tillegg under artikkel 2(2)(b)–(e) og (ii) leverandørkjede-flyt (artikkel 21(2)(d)), som ofte presser NIS2-lignende krav nedover gjennom kontrakter til leverandører utenfor omfanget.

En merknad om at målstolpene flytter seg. Den 20. januar 2026 foreslo Kommisjonen målrettede NIS2-endringer som vil presisere disse sektordefinisjonene (f.eks. en terskel på 1 MW genereringskapasitet for elektrisitetsprodusenter, og justeringer for helse, hydrogen og kjemikalier), legge til infrastruktur for undersjøiske datakabler og leverandører av EU Digital Identity/Business Wallet som essensielle enheter, og innføre en «small mid-cap»-kategori (Kommisjonens Q&A om cybersikkerhetspakken ; Freshfields-kommentar ). Dette er forslag, ikke lov; de eksisterende vedleggene gjelder inntil vedtak og en 12-måneders transponeringsperiode har gått.

Steg 3 — størrelsestesten

Spørsmålet: Er enheten minst en mellomstor virksomhet i den forstand som menes i Kommisjonsanbefaling 2003/361/EF ?

NIS2s omfang er bygget på EUs SMB-definisjon. Etter artikkel 2(1) i NIS2 gjelder direktivet for enheter i Vedlegg I eller II som kvalifiserer som mellomstore virksomheter, eller overstiger taket for mellomstore virksomheter, etter artikkel 2 i Vedlegget til Anbefaling 2003/361/EF.

Anbefalingen definerer de relevante nivåene som følger (Vedlegget, artikkel 2 i Anbefaling 2003/361/EF ):

Kvalifiseringslogikken er: en virksomhet er mellomstor hvis den har 50–249 ansatte eller omsetning/balanse over taket for små virksomheter (€10 M) men under mellomstor-taket (€50 M omsetning / €43 M balanse). En virksomhet er stor hvis den overstiger 250 ansatte og overstiger enten €50 M omsetning eller €43 M balanse — dvs. den faller helt utenfor SMB-definisjonen.

For NIS2 mappes dette til enhetsklassifisering (artikkel 3(1) i NIS2 ):

• Stor (overstiger mellomstor-taket) i en Vedlegg I-sektor → Essensiell enhet.
• Mellomstor i en Vedlegg I-sektor → Viktig enhet (med mindre medlemsstaten utpeker som Essensiell).
• Mellomstor eller stor i en Vedlegg II-sektor → Viktig enhet (med mindre medlemsstaten utpeker som Essensiell).
• Mikro/liten → generelt utenfor omfang, med de store unntakene listet i Steg 5.

Beslutningspunkter

• Antall ansatte ≥ 50. → Fortsett med konsolideringssjekken (Steg 4).
• Antall ansatte < 50 og omsetning ≤ €10 M og balanse ≤ €10 M. → Du er en liten/mikrovirksomhet. Hopp til Steg 5 — du er sannsynligvis ute med mindre en «uavhengig av størrelse»-regel gjelder.
• Antall ansatte < 250 og (omsetning > €10 M eller balanse > €10 M) opp til mellomstor-taket (€50 M / €43 M). → Mellomstor virksomhet. I omfang med forbehold for Steg 5.

Steg 4 — regelen om konsernkonsolidering

Spørsmålet: Har du korrekt aggregert enhetens data med dens partner- og tilknyttede virksomheter før du svarte på Steg 3?

Dette steget feller flere organisasjoner enn noe annet. SMB-anbefalingen skiller mellom tre kategorier av virksomhetsforhold (artikkel 3 i Vedlegget til Anbefaling 2003/361/EF ):

• Autonom: ingen aksje-/stemmerett-koblinger på 25 % eller mer med en annen virksomhet (med unntak for visse investorer som venturekapital, universitets-FoU-investorer, forretningsenglar opp til €1 250 000, og visse regionale/offentlige investorer).
• Partner: en virksomhet eier 25–50 % av kapitalen eller stemmerettene i en annen (eller omvendt), uten kontroll.
• Tilknyttet: én virksomhet kontrollerer den andre (f.eks. flertall av stemmeretter, dominerende innflytelse).

Når man bestemmer størrelse for NIS2-formål:

• For en autonom virksomhet teller bare dens egne ansatte og finanstall.
• For en partner-virksomhet legger du til en proporsjonal andel av partner-virksomhetens ansatte og finansdata (i forhold til eierandelen).
• For tilknyttede virksomheter aggregerer du 100 % av de tilknyttede virksomhetenes ansatte og finansdata.

Praktisk eksempel. Et tysk datterselskap med 30 ansatte som isolert sett ser «lite» ut, kan flippe over til «mellomstor» eller «stor» når det aggregeres med morselskapets konsern på 600 ansatte. Hvis konsernet driver en Vedlegg I-aktivitet gjennom det datterselskapet, kan datterselskapet være en NIS2 Essensiell enhet, selv om dets egne ansatt- og inntektstall skulle tilsi noe annet.

Beslutningspunkter

• Du har kartlagt partner- og tilknyttede virksomheter i tråd med artikkel 3 i Vedlegget til SMB-anbefalingen.
• Du har anvendt partner pro-rata-regelen og 100 %-aggregeringsregelen for tilknyttede.
• Du har kjørt Steg 3-testen på nytt med konsoliderte tall.

Hvis konsolidering flipper deg fra «liten» til «mellomstor» eller høyere, er du sannsynligvis i omfang. Hvis du faktisk forblir en liten/mikrovirksomhet etter konsolidering, gå til Steg 5.

Steg 5 — unntak fra størrelsestesten: enheter i omfanget uavhengig av størrelse

Spørsmålet: Selv om du er under mellomstor-terskelen, faller enheten inn under en av kategoriene NIS2 dekker uten hensyn til størrelse?

Artikkel 2(2) i NIS2 bringer følgende enheter inn i omfanget uavhengig av størrelse:

• (a) Leverandører av offentlige elektroniske kommunikasjonsnett eller offentlig tilgjengelige elektroniske kommunikasjonstjenester.
• (b) Tillitstjenestetilbydere (kvalifiserte og ikke-kvalifiserte, som definert under Forordning (EU) nr. 910/2014 / eIDAS).
• (c) TLD-navneregistre og DNS-tjenestetilbydere.
• (d) En eneleverandør i en medlemsstat av en tjeneste som er essensiell for opprettholdelse av kritiske samfunns- eller økonomiske aktiviteter.
• (e) Enhver enhet hvis avbrudd i tjenester kunne ha en betydelig innvirkning på offentlig sikkerhet, offentlig orden eller folkehelse; eller kunne induserer betydelig systemisk risiko (særlig for sektorer der slikt avbrudd kunne ha grensekryssende effekt); eller der enheten er kritisk på grunn av sin spesifikke betydning på nasjonalt eller regionalt nivå for den bestemte sektoren eller tjenestetypen, eller for andre gjensidig avhengige sektorer i medlemsstaten.
• (f) Offentlige forvaltningsenheter i sentralforvaltningen som definert under nasjonal lov, og (etter medlemsstatens skjønn) regionale forvaltningsenheter som leverer tjenester der avbrudd kunne ha betydelig grensekryssende effekt.

I tillegg gjelder direktivet uttrykkelig, uavhengig av størrelse:

• For enheter som leverer registrerings­tjenester for domenenavn (artikkel 2(3)).
• For enheter identifisert som kritiske enheter under Direktiv (EU) 2022/2557 (CER-direktivet om motstandsdyktighet for kritiske enheter). Etter artikkel 6(1) i NIS2 anses enheter identifisert som kritiske under CER som essensielle enheter under NIS2 som standard.

Beslutningspunkter

• Enheten er en kvalifisert eller ikke-kvalifisert tillitstjenestetilbyder. → I omfang, uavhengig av størrelse.
• Enheten er en DNS-tjenestetilbyder, TLD-navneregister eller leverer registrerings­tjenester for domenenavn. → I omfang, uavhengig av størrelse.
• Enheten leverer offentlige elektroniske kommunikasjonsnett eller offentlig tilgjengelige elektroniske kommunikasjonstjenester. → I omfang, uavhengig av størrelse.
• Enheten er eneleverandøren i din medlemsstat av en tjeneste som er essensiell for kritiske samfunns- eller økonomiske aktiviteter. → I omfang.
• Enheten er en sentral- eller (der utpekt) regional offentlig forvaltningsenhet. → I omfang.
• Enheten er identifisert som en kritisk enhet under CER-direktivet. → Behandles som Essensiell under NIS2.

Steg 6 — Essensiell vs Viktig: klassifisering og hva det betyr

NIS2 forlater NIS1-skillet mellom «operatører av essensielle tjenester» og «digitale tjenestetilbydere», og erstatter det med tonivå-klassifiseringen i artikkel 3 :

Essensielle enheter inkluderer:

• Vedlegg I-enheter som overstiger taket for mellomstore virksomheter (dvs. store virksomheter);
• Kvalifiserte tillitstjenestetilbydere, TLD-navneregistre, DNS-tjenestetilbydere (uavhengig av størrelse);
• Leverandører av offentlige elektroniske kommunikasjonsnett/-tjenester som kvalifiserer som mellomstore virksomheter (merk: små/mellomstore telekomselskaper er Essensielle; større likeså);
• Offentlige forvaltningsenheter i sentralforvaltning som definert av medlemsstatene;
• Enheter identifisert som kritiske under CER-direktivet;
• Enhver annen enhet som medlemsstater identifiserer som essensiell under artikkel 2(2)(b)–(e).

Viktige enheter inkluderer:

• Vedlegg I-enheter som oppfyller mellomstor-terskelene men ikke overstiger dem;
• Alle andre enheter av en type listet i Vedlegg I eller II som oppfyller størrelseskriteriene og ikke er klassifisert som essensielle;
• Enhver enhet som en medlemsstat identifiserer som viktig under artikkel 2(2)(b)–(e).

Hvorfor merkelappen betyr noe. Begge nivåer må overholde de samme substansielle forpliktelsene under artikkel 21 (risikohåndteringstiltak) og artikkel 23 (hendelsesrapportering). Forskjellene er i tilsyn og sanksjoner:

Beslutningspunkter

• Du har identifisert Vedlegg I/II-klassifisering.
• Du har anvendt størrelse + artikkel 2(2)-unntak.
• Du har en klar Essensiell vs Viktig-merkelapp, per enhet.

Konsernnivå-påminnelse. Hver juridisk enhet i et selskapskonsern klassifiseres separat. Et holdingselskap kan være utenfor omfang mens to av dets datterselskaper er Essensielle, og et tredje er Viktig — og hver må registrere seg og overholde på egne ben.

Steg 7 — sektorspesifikk lex specialis (DORA og venner)

Spørsmålet: Er enheten allerede dekket av en sektorspesifikk EU-rettsakt som pålegger cybersikkerhetsforpliktelser minst likeverdige med NIS2s?

Artikkel 4 i NIS2 er lex specialis-broen. Der en annen EU-rettsakt pålegger cybersikkerhets-risikohåndtering eller rapporteringsforpliktelser til en enhet som er «minst likeverdige i virkning» med NIS2s, gjelder ikke de tilsvarende NIS2-bestemmelsene. Kommisjonens Retningslinjer om anvendelse av artikkel 4(1) og (2) i Direktiv (EU) 2022/2555, 2023/C 328/02 utdyper dette.

Det vanligste unntaket er DORA (Forordning (EU) 2022/2554 ). DORA er lex specialis til NIS2 for finanssektoren. Finansenheter i DORA-omfanget (kredittinstitusjoner, verdipapirforetak, sentrale motparter, handelsplasser, forsikrings-/gjenforsikrings­foretak, kryptoaktivatjenestetilbydere og en lang liste andre) følger DORAs regler for IKT-risikohåndtering, hendelsesrapportering, testing og tredjepartsrisiko i stedet for NIS2s. DORAs fortale 28 sier uttrykkelig at DORA «utgjør lex specialis» til NIS2 for finansenheter.

Andre interaksjoner verdt å merke seg:

• CER-direktivet (Direktiv (EU) 2022/2557) — fysisk og operasjonell motstandsdyktighet for enheter identifisert som kritiske. NIS2 og CER er komplementære: kritiske enheter under CER er automatisk essensielle enheter under NIS2 (artikkel 6(1)).
• eIDAS / Forordning (EU) nr. 910/2014 — NIS2 endrer den; tillitstjenestetilbydere reguleres både av sin sektorrettsakt og av NIS2.
• European Electronic Communications Code (Direktiv (EU) 2018/1972) — NIS2 endrer det; sikkerhetshendelse-varsling for offentlige e-komm-tilbydere er konsolidert under NIS2.
• Cyber Resilience Act (Forordning (EU) 2024/2847) — regulerer produkt-siden (cybersikkerhet for produkter med digitale elementer plassert på EU-markedet). Hvis kundene dine er NIS2-regulerte, kan leverandørkjede-kaskaden under artikkel 21(2)(d) trekke CRA-relevante sikkerhetskrav inn i leverandørkontraktene dine. Den detaljerte gjennomgangen på produkt-siden ligger i Gjelder Cyber Resilience Act for ditt produkt? .

Beslutningspunkter

• Du har sjekket om en sektorspesifikk EU-rettsakt med «minst likeverdige» cybersikkerhetsbestemmelser gjelder (mest sannsynlig DORA for finansenheter).
• Hvis ja, har du identifisert hvilke NIS2-forpliktelser som fortrenges og hvilke (særlig registrering under artikkel 27 og artikkel 3(3)) som fortsatt kan gjelde.

Steg 8 — variasjon mellom medlemsstater: finn din transponering

NIS2 er et minimums-harmoniseringsdirektiv (artikkel 5 i NIS2 ). Medlemsstater kan vedta strengere regler, utvide omfanget (for eksempel til lokal offentlig forvaltning eller til små enheter av nasjonal betydning), eller innføre ytterligere forpliktelser.

Transponeringsfrist: 17. oktober 2024, med regler som gjelder fra 18. oktober 2024 (artikkel 41 i NIS2 ; Europakommisjonens sammendrag ).

Per tidlig 2026 er transponering fortsatt et lappeteppe. Kommisjonen åpnet traktatbruddprosedyrer mot 23 medlemsstater i november 2024 og sendte begrunnede uttalelser til 19 medlemsstater i mai 2025 (Europakommisjonen – NIS2-transponering i EU-land ). Bemerkelsesverdige eksempler (gjenstand for løpende endring — sjekk alltid ECSO NIS2 Transposition Tracker og Europakommisjonens transponeringsside ):

• Belgia — Lov av 26. april 2024, i kraft siden 18. oktober 2024. Tilsynsmyndighet: Centre for Cybersecurity Belgium (CCB) . Registrering via Safeonweb@work-portalen stengte i mars 2025 for enheter i omfanget. Belgia har gold-platet visse tiltak (f.eks. en politikk for koordinert sårbarhetsavsløring).
• Tyskland — NIS2UmsuCG (som endrer BSIG) kunngjort i Bundesgesetzblatt 6. desember 2025 og i kraft samme dag. Tilsynsmyndighet: BSI (Bundesamt für Sicherheit in der Informationstechnik) . Registreringsfrist: 6. mars 2026 (tre måneder fra ikrafttredelse).
• Italia — Decreto legislativo n. 138/2024, i kraft 16. oktober 2024. Tilsynsmyndighet: Agenzia per la Cybersicurezza Nazionale (ACN) . Revisjonsfrist nå 30. juni 2026.
• Frankrike — Resiliens-loven («UC32») i sluttfasen av parlamentarisk behandling i sen 2025/tidlig 2026; tilsynsmyndighet: ANSSI . Transponering ikke fullført på skrivetidspunktet.
• Nederland — Cyberbeveiligingswet under parlamentarisk gjennomgang; forventet i kraft i Q2 2026.
• Irland — tilsynsmyndigheter er delt på tvers av sektorer (NCSC generelt; CRU for energi/vann; ComReg for digital infrastruktur; CBI for bank; sektorvise luftfarts-/jernbane-/maritime myndigheter for transport). Se irske NCSCs NIS2 FAQ .

Mange medlemsstater har innført nasjonale vrier: Ungarn, Finland og Belgia ekskluderer bank-/finansenheter fra omfanget (dekket av DORA); Bulgaria og Portugal utelot opprinnelig lokal offentlig forvaltning; Ungarn la til kollektivtransport; Slovakia la til termisk kraftproduksjon; Polen klassifiserte elektroniske kommunikasjoner under digital infrastruktur. Les alltid den nasjonale transponeringsteksten før du trekker konklusjoner.

Beslutningspunkter

• Du har identifisert medlemsstaten(e) under hvis jurisdiksjon enheten faller.
• Du har den nasjonale transponeringsloven og gjeldende registreringsfrist.
• Du har identiteten til tilsynsmyndigheten (tilsyn/håndhevelse) og CSIRT (hendelsesvarsling) for din sektor.

Steg 9 — registreringsforpliktelser

Artikkel 3(3) i NIS2 krevde at medlemsstatene skulle etablere en liste over essensielle og viktige enheter (og enheter som leverer registrerings­tjenester for domenenavn) innen 17. april 2025, og gjennomgå den minst hvert annet år deretter.

Artikkel 3(4) krever at enheter gir minst følgende til tilsynsmyndigheten:

• (a) enhetens navn;
• (b) adresse og oppdaterte kontaktdetaljer, inkludert e-postadresser, IP-rekker og telefonnumre;
• (c) der det er relevant, relevant sektor og undersektor referert til i Vedlegg I eller II;
• (d) der det er relevant, en liste over medlemsstater der de leverer tjenester som faller innenfor NIS2s omfang.

Artikkel 27 i NIS2 krever videre at visse digitale infrastruktur- og digitale tjenestetilbydere (DNS-tjenestetilbydere, TLD-navneregistre, enheter som leverer registrerings­tjenester for domenenavn, leverandører av nettskytjenester, datasentertjenester, innholdsleveringsnett, MSP-er, MSSP-er, leverandører av nettbaserte markedsplasser, søkemotorer og sosiale nettverkstjenester) sender inn et spesifikt sett med informasjon for å sette ENISA i stand til å vedlikeholde et unionsdekkende register, innen 17. januar 2025.

Praktisk realitet. Registrering i mange medlemsstater skjer gjennom en dedikert nasjonal portal — f.eks. Safeonweb@work i Belgia, BSI-portalen i Tyskland, ACN-portalen i Italia. Frister, granulariteten i selvklassifiserings-spørreskjemaer og konsekvensene av sen registrering varierer fra land til land (se ECSO NIS2 Transposition Tracker ).

Beslutningspunkter

• Du har lokalisert riktig nasjonal registreringsportal.
• Du har forberedt minst informasjonssettet i artikkel 3(4).
• Hvis du er en artikkel 27 digital infrastruktur-/tjenestetilbyder, har du fullført den ytterligere registreringen (for ENISA-vedlikeholdt unionsregister).
• Du har flagget eventuelle sektorspesifikke registreringer (f.eks. tillitstjenesteregistre under eIDAS).

Steg 10 — sentrale forpliktelser når du er innenfor

Hvis du overlever Steg 1–6, er du i omfang. De to operative forpliktelsene å planlegge rundt umiddelbart er:

Artikkel 21 — tiltak for cybersikkerhetsrisikohåndtering

Artikkel 21(2) i NIS2 krever at essensielle og viktige enheter tar passende og proporsjonale tekniske, operasjonelle og organisatoriske tiltak, basert på en «all-hazards»-tilnærming, omfattende minst:

• (a) retningslinjer for risikoanalyse og informasjonssystem-sikkerhet;
• (b) hendelseshåndtering;
• (c) forretningskontinuitet, som backup-håndtering og katastrofegjenoppretting, og krisehåndtering;
• (d) leverandørkjede-sikkerhet, inkludert sikkerhetsrelaterte aspekter ved forholdet mellom hver enhet og dens direkte leverandører eller tjenestetilbydere;
• (e) sikkerhet i anskaffelse, utvikling og vedlikehold av nett- og informasjonssystemer, inkludert sårbarhetshåndtering og avsløring;
• (f) retningslinjer og prosedyrer for å vurdere effektiviteten av cybersikkerhets-risikohåndteringstiltak;
• (g) grunnleggende cyberhygiene-praksis og cybersikkerhetstrening;
• (h) retningslinjer og prosedyrer for bruk av kryptografi og, der det er hensiktsmessig, kryptering;
• (i) personalsikkerhet, retningslinjer for tilgangskontroll og forvaltning av eiendeler;
• (j) bruk av multifaktorautentisering eller kontinuerlig autentisering, sikrede tale-, video- og tekstkommunikasjoner og sikrede nødkommunikasjonssystemer innenfor enheten, der det er hensiktsmessig.

Artikkel 21(5) gir Kommisjonen myndighet til å vedta gjennomføringsrettsakter som spesifiserer tekniske og metodologiske krav. Den første av disse — Kommisjonens gjennomføringsforordning (EU) 2024/2690 av 17. oktober 2024 — gjelder for DNS-tjenestetilbydere, TLD-navneregistre, nettsky-, datasenter-, CDN-, administrerte tjenester og administrerte sikkerhetstjenestetilbydere, og leverandører av nettbaserte markedsplasser, søkemotorer, sosiale nettverkstjenester og tillitstjenestetilbydere. ENISA publiserer også implementeringsveiledning for artikkel 21.

For enheter som drifter industrielle automasjons- og kontrollsystemer — Vedlegg I-sektorer som energi, transport, vann og produksjon — er IEC 62443-familien den anerkjente tekniske standarden for å bevise artikkel 21-tiltak. Avbildningen er konkret: artikkel 21(2)(a) og (e) — risikoanalyse og sikker utvikling — samsvarer med anleggseiers forvaltningsprogram under IEC 62443-2-1 og systemdesigndisiplinen i IEC 62443-3-2 og 3-3 . Artikkel 21(2)(d) — leverandørkjede-sikkerhet — bevises mest forsvarlig ved å kreve IEC 62443-4-1 og 4-2 -sertifisering fra produktleverandører og IEC 62443-2-4-sertifisering fra tjenesteleverandører. Å behandle disse standardene som det tekniske svaret på artikkel 21 i OT-kontekster er hvordan cybersikkerhetsteamet oversetter direktivet til anskaffelseskontrakter og revisjonsbevis.

Artikkel 23 — tidsfrister for hendelsesrapportering

Artikkel 23(4) i NIS2 pålegger en flerstegs-rapporteringskadens for betydelige hendelser:

• Tidlig varsel — uten unødig forsinkelse og uansett innen 24 timer etter at man blir oppmerksom på den betydelige hendelsen. Det tidlige varselet bør angi, der det er relevant, om hendelsen mistenkes å være forårsaket av ulovlige eller ondsinnede handlinger og om den kunne ha grensekryssende effekt.
• Hendelsesvarsling — innen 72 timer etter at man blir oppmerksom (24 timer for tillitstjenestetilbydere når det gjelder betydelige hendelser som påvirker deres tillitstjenester). Varselet oppdaterer det tidlige varselet og inkluderer en innledende vurdering av alvorlighet og virkning, pluss kompromiss-indikatorer der tilgjengelig.
• Mellomliggende rapport — på anmodning fra CSIRT eller tilsynsmyndighet, med statusoppdateringer.
• Sluttrapport — ikke senere enn én måned etter hendelsesvarslingen. Sluttrapporten må inneholde en detaljert beskrivelse av hendelsen (inkludert alvorlighet og virkning), typen trussel eller rotårsak som sannsynligvis utløste den, anvendte og pågående avbøtende tiltak, og eventuell grensekryssende virkning.

En hendelse er «betydelig» der den har forårsaket eller er i stand til å forårsake alvorlig driftsforstyrrelse av tjenestene eller økonomisk tap for enheten, eller har påvirket eller er i stand til å påvirke andre fysiske eller juridiske personer ved å forårsake betydelig materiell eller ikke-materiell skade (artikkel 23(3) ).

Andre forpliktelser å bake inn

• Artikkel 20 — Ledelsesorganer må godkjenne og overvåke gjennomføringen av risikohåndteringstiltak, gjennomgå opplæring, og tilby tilsvarende opplæring til ansatte.
• Artikkel 24 — Mulig bruk av europeiske cybersikkerhetssertifiseringsordninger (under Forordning (EU) 2019/881 ) for å demonstrere etterlevelse.
• Artikkel 28 — Krav til registreringsdata for domenenavn for TLD-registre og enheter som leverer registrerings­tjenester for domenenavn.
• Artikler 32–33 — Tilsynsmyndigheter (revisjoner, inspeksjoner, forespørsler om informasjon).

Steg 11 — sanksjoner

Artikkel 34 i NIS2 setter minimums-maksimum administrative bøter for brudd på artikkel 21 eller 23:

• Essensielle enheter — bøter på maksimum minst €10 000 000 eller på maksimum minst 2 % av total verdensomspennende årsomsetning i forrige regnskapsår av virksomheten som den essensielle enheten tilhører, det høyeste av disse.
• Viktige enheter — bøter på maksimum minst €7 000 000 eller på maksimum minst 1,4 % av total verdensomspennende årsomsetning i forrige regnskapsår av virksomheten som den viktige enheten tilhører, det høyeste av disse.

Medlemsstater kan sette høyere tak. Artikkel 34(6) tillater også periodiske straffebetalinger for å tvinge frem etterlevelse. Offentlige forvaltningsenheter er underlagt et medlemsstats-spesifikt regime: artikkel 36 lar medlemsstatene bestemme om og i hvilken grad administrative bøter gjelder offentlige forvaltningsenheter.

Utover bøter kan tilsynsmyndigheter, under artikler 32–33:

• utstede bindende instruksjoner;
• bestille sikkerhetsrevisjoner på enhetens regning;
• midlertidig suspendere en sertifisering eller autorisasjon;
• kreve offentlig avsløring av bruddet;
• (for essensielle enheter) midlertidig forby enkeltpersoner som utøver lederansvar fra å gjøre det.

Praktiske tips for enheter som opererer i flere medlemsstater

Hvis prosjektet ditt berører mer enn én medlemsstat — og de fleste digitale prosjekter gjør det — anta følgende inntil annet er bevist:

1. Hvert EU-datterselskap vurderes separat. Konsernnivå-NIS2-etterlevelse eksisterer ikke. Hver enhet i omfang må registrere seg og overholde i sin egen medlemsstat.
2. «Hovedetablering»-regelen er din venn — men bare for listen i artikkel 26(1)(b). Skytjenestetilbydere, MSP-er, MSSP-er, CDN-tilbydere, datasenter-operatører, DNS-tilbydere, TLD-registre, registrerings­tjenester for domenenavn, nettbaserte markedsplasser, søkemotorer og sosiale nettverkstjenester nyter alle godt av enkelt-medlemsstats-jurisdiksjon ved sin hovedetablering. Andre sektorer (energi, transport, helse, vann, produksjon osv.) møter per-etablering-jurisdiksjon, som kan bety parallell registrering og parallell rapportering på tvers av flere land.
3. Behandle transponeringsvariasjon som en prosjektrisiko. Definisjoner av «betydelig hendelse», registreringsformater, frister for revisjonsberedskap, sanksjonsnivåer, og eksistensen av nasjonalnivå sektortillegg (avfallshåndtering, kollektivtransport, gruvedrift, utdanning) varierer alle. ECSO NIS2 Transposition Tracker og Europakommisjonens transponeringsside er dine venner.
4. Kartlegg registreringene dine til tilsynsmyndighetene, ikke bare til «NIS2». Innenfor en enkelt medlemsstat kan jurisdiksjon være delt på tvers av CSIRT, en horisontal cybersikkerhetsmyndighet og én eller flere sektorregulatorer (Irland er et bemerkelsesverdig eksempel).
5. Koordiner NIS2 med GDPR, DORA, CER og CRA. En enkelt hendelse kan utløse parallelle varslinger under GDPR (72 t), NIS2 (24 t tidlig varsel), DORA (4 t innledende varsel for finansenheter), CER (motstandsdyktighetsmessige implikasjoner) og — hvis en produktsårbarhet er involvert — CRA (24 t til ENISA og koordinator-CSIRT, se Gjelder Cyber Resilience Act for ditt produkt? ). Opprettholder ett hendelsesregister og synkroniser fakta du rapporterer til hver myndighet — inkonsistenser er i seg selv en håndhevelsesrisiko.
6. Bruk leverandørkjede-kaskaden til din fordel. Hvis du er utenfor omfanget men kundene dine er i omfanget, forvent kontraktsmessig nedstrømsflyt. Å designe sikkerhetsgrunnlinjen din etter NIS2-standarder er ofte billigere enn å kjøre parallelle prosesser for hver kundes egendefinerte leverandørspørreskjema.

Forhold til direktivet om motstandsdyktighet for kritiske enheter (CER)

NIS2 har et søsken: direktivet om motstandsdyktighet for kritiske enheter — Direktiv (EU) 2022/2557 . CER adresserer fysisk og operasjonell motstandsdyktighet (ikke cybersikkerhet) for «kritiske enheter» identifisert av medlemsstatene i 11 sektorer som i stor grad overlapper med NIS2 Vedlegg I (energi, transport, bank, finansmarkedsinfrastruktur, helse, drikkevann, avløpsvann, digital infrastruktur, offentlig forvaltning, rom og mat). Medlemsstatene måtte identifisere sine kritiske enheter innen 17. juli 2026 (artikkel 6 i CER ).

To praktiske konsekvenser:

• Under artikkel 6(1) i NIS2 behandles kritiske enheter under CER automatisk som essensielle enheter under NIS2. De to regimene opererer parallelt: NIS2 dekker cyberrisikoflaten, CER dekker fysiske, miljømessige og personellrelaterte trusler.
• Hvis enheten din er identifisert som kritisk under CER, planlegg for risikovurderinger, motstandsdyktighetsplaner, bakgrunnssjekker for personell i sensitive roller og hendelsesvarslinger under CER i tillegg til NIS2-forpliktelser.

Nylige utviklinger å følge med på (tidlig 2026)

• 20. januar 2026 — Kommisjonens målrettede NIS2-endringsforslag (COM(2026) 13 ; Kommisjonens Q&A ) er ment å forenkle etterlevelse for rundt 28 700 selskaper (inkludert 6 200 mikro- og småvirksomheter). Sentrale forslag: presisert sektoromfang (elektrisitet, hydrogen, kjemikalier, helsevesen); inkludering av infrastruktur for undersjøiske datakabler og EU Digital Identity Wallet / EU Business Wallet-tilbydere; en ny «small mid-cap»-kategori som generelt vil bli klassifisert som Viktig snarere enn Essensiell; harmonisering av artikkel 21 tekniske tiltak via gjennomføringsrettsakter; presisering av jurisdiksjonsregler; løspengeprogramvare-spesifikk rapportering; og bredere EU-representant-krav for ikke-EU-enheter. Forslaget forutsetter en 12-måneders transponeringsperiode etter vedtak; politisk enighet siktes mot tidlig 2027.

• 19. november 2025 — Digital Omnibus-pakke (Kommisjonens Digital Omnibus ; kommentar hos Bird & Bird ) foreslår et enkelt-inngangspunkt for hendelsesrapportering forvaltet av ENISA, som dekker NIS2-, DORA-, CER-, eIDAS- og GDPR-relatert rapportering, gjelder 18 måneder etter vedtak.

• Pågående traktatbruddprosedyrer av Kommisjonen mot medlemsstater som bommet på transponeringsfristen 17. oktober 2024 (23 medlemsstater i november 2024; begrunnede uttalelser til 19 medlemsstater i mai 2025).

Ingen av disse forslagene endrer den nåværende rettstilstanden: inntil de er vedtatt og transponert, gjelder direktivet som publisert i OJ L 333, 27.12.2022, s. 80.

En gjennomgått «er jeg i omfanget»-sjekkliste du kan kopiere

Skriv ut og fyll inn for hver juridisk enhet i prosjektet ditt.

• Steg 1 — Enheten er etablert i en EU-medlemsstat, eller den er en av kategoriene i artikkel 26(1)(b) som tilbyr tjenester i EU og vil utpeke en EU-representant.
• Steg 2 — Enhetens aktivitet er listet i en undersektor i Vedlegg I eller Vedlegg II i Direktiv (EU) 2022/2555 (sit den spesifikke undersektoren).
• Steg 3 — Jeg har beregnet antall ansatte og det høyeste av omsetning/balanse for enheten.
• Steg 4 — Jeg har aggregert partner-virksomheter (pro rata) og tilknyttede virksomheter (100 %) per Kommisjonsanbefaling 2003/361/EF, og kjørt størrelsestesten på nytt.
• Steg 5 — Jeg har sjekket hver «uavhengig av størrelse»-utløser i NIS2 artikkel 2(2): tillitstjenestetilbyder; DNS-tilbyder; TLD-navneregister; registrerings­tjenester for domenenavn; tilbyder av offentlige elektroniske kommunikasjoner; eneleverandør i en medlemsstat; betydelig-virkning-utløsere; sentral eller utpekt regional offentlig forvaltning; kritisk enhet under CER.
• Steg 6 — Jeg har klassifisert enheten som Essensiell eller Viktig under artikkel 3, og dokumentert begrunnelsen.
• Steg 7 — Jeg har sjekket om DORA eller en annen sektorspesifikk EU-rettsakt fortrenger NIS2-substansforplikter under artikkel 4 (og jeg har lest Kommisjonens retningslinjer om artikkel 4(1) og (2)).
• Steg 8 — Jeg har identifisert medlemsstaten(e) med jurisdiksjon under artikkel 26 og den nasjonale transponeringsloven, tilsynsmyndigheten og CSIRT.
• Steg 9 — Jeg har registrert (artikkel 3(3)/(4) og, hvis relevant, artikkel 27) innen den nasjonale fristen og har en prosess for å holde registreringsdataene oppdaterte.
• Steg 10 — Jeg har implementert artikkel 21-tiltak på tvers av (a)–(j) og artikkel 23 hendelsesrapportering (24 t / 72 t / 1 måned, med 24 t-varianten for tillitstjenestetilbydere).
• Steg 11 — Ledelsesorganene er trent (artikkel 20); bot-eksponering (artikkel 34) er på risikoregisteret og reflektert i styrerapportering.

Hvis du kan krysse av alle elleve bokser med henvisninger til bevisene dine, er du ikke bare «etterlevende på papiret» — du er revisjonsklar. Og hvis prosjektet ditt også plasserer produkter på EU-markedet, gå gjennom produkt-sjekklisten neste: Gjelder Cyber Resilience Act for ditt produkt? .