NIS2-sektorer: vilken bilaga står er verksamhet i?

Bilaga 1 omfattar energi, transport, bankverksamhet, finansiella marknadsinfrastrukturer, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster mellan företag, offentlig förvaltning och rymd.

Varje sektor är i sin tur uppdelad i undersektorer med egna beskrivningar av vilken typ av aktör som avses. Energi delas exempelvis i el, fjärrvärme, olja, gas och vätgas, och beskrivningarna pekar ut roller som elhandlare eller systemansvarig snarare än branschen som helhet.

Storleken avgör resten, utom för de verksamheter som 1 kap. 9 § gör väsentliga oavsett storlek. Gränsen mellan medelstort och stort följer kommissionens rekommendation, som väger anställda, omsättning och balansomslutning tillsammans, och konsekvensen syns i sanktionstaken: 2 procent av global omsättning för väsentliga mot 1,4 procent för viktiga. Bilagan ensam säger alltså ingenting om vare sig klassning eller exponering.

Bilaga 2 omfattar post- och budtjänster, avfallshantering, tillverkning och distribution av kemikalier, produktion och distribution av livsmedel, tillverkning av bland annat medicintekniska produkter, datorer, elektronik, maskiner och fordon, digitala leverantörer samt forskning.

Att stå i bilaga 2 betyder att verksamheten klassas som viktig oavsett om den är medelstor eller stor. Kraven är desamma som för väsentliga; det är tillsynens form som skiljer.

Återfinns typen av verksamhetsutövare i bilaga 2 och är ett stort eller medelstort företag ses verksamhetsutövaren som viktig. Återfinns typen av verksamhetsutövare i bilaga 1 och är ett medelstort företag ses verksamhetsutövaren som viktig, men är verksamheten ett stort företag så ses verksamhetsutövaren som väsentlig.

Beskrivningarna i bilagorna är juridiskt formulerade och pekar ofta ut en roll snarare än en bransch. En sammanfattning som säger tillverkning tappar att bilaga 2 räknar upp specifika produktkategorier, och en som säger vård tappar undersektorernas avgränsningar.

Det praktiska rådet är att läsa er egen verksamhetstyp i direktivets text, spara utdraget med datum, och notera vilken undersektor ni matchade mot. Det utdraget är utgångspunkten om någon senare ifrågasätter bedömningen.

Verksamheter som gör flera saker kan matcha beskrivningar i båda bilagorna. En koncern med både tillverkning och egen digital infrastruktur är ett vanligt fall.

Bedömningen utgår från den juridiska personen, och ett organisationsnummer motsvarar en sådan. En och samma juridiska person kan omfattas i flera sektorer samtidigt, och den mest ingripande klassningen är den som styr. Dokumentera vilka delar ni bedömt var för sig, eftersom det är den uppdelningen en tillsynsmyndighet kommer att fråga om.