Omfattas vi av cybersäkerhetslagen?

NIS2-direktivet delar sektorerna i två bilagor. Bilaga 1 rymmer de högkritiska sektorerna, bilaga 2 de andra kritiska. Uppdelningen är inte en gradering av hur viktig verksamheten är för samhället utan styr vilken tillsyn som gäller.

Slå upp er egen verksamhetstyp i direktivets bilagor snarare än att utgå från en sammanfattning. Sektorsbeskrivningarna är specifika, och flera verksamheter som i dagligt tal beskrivs likadant hamnar i olika bilagor.

Storleksdefinitionen finns inte i cybersäkerhetslagen. Den kommer från kommissionens rekommendation 2003/361/EG, som är EU:s allmänna definition av mikroföretag samt små och medelstora företag, och det är dit NCSC hänvisar.

Gränsen som avgör klassen går vid medelstort mot stort. Ett medelstort företag har färre än 250 anställda. Passeras den gränsen räknas verksamheten som stor.

Det är främst storleken på organisationen avgör om verksamhetsutövaren är väsentlig eller viktig, men även i vilken bilaga som typen av verksamhetsutövare återfinns (bilaga 1 eller bilaga 2).

Skillnaden ligger i tillsynen, inte i kraven. Båda klasserna ska anmäla sig, vidta riskhanteringsåtgärder och rapportera betydande incidenter.

För väsentliga verksamhetsutövare är tillsynen proaktiv: myndigheten kan granska utan att något har inträffat. För viktiga är den i huvudsak reaktiv och utlöses av en indikation på att något är fel. Det är en skillnad i sannolikhet att bli granskad, inte i vad som granskas.

Klassningen är inte en engångshandling. Två saker gör att den behöver göras om: verksamheten passerar en storleksgräns, eller så ändras det ni gör så att en annan sektorsbeskrivning börjar passa.

NCSC anger att förändringar ska anmälas. Kontaktvägen är densamma som för den ursprungliga anmälan, alltså [email protected].

Riskhantering i leverantörskedjan är en uttrycklig del av kraven på den som omfattas. Det betyder att kunder som själva är verksamhetsutövare kommer att ställa frågor till sina leverantörer, oavsett om leverantören omfattas.

I praktiken är det den vanligaste vägen in i regelverket för mindre bolag. Ni får ett säkerhetsformulär från en kund, och kraven i det är hämtade ur kundens egen efterlevnad.

Anmälan går till NCSC på [email protected]. NCSC anger ingen fast slutdag utan att anmälan ska ske så snart det kan ske, från den 2 februari, och att tillsynsmyndigheterna kan vidta åtgärder om den inte inkommit inom 14 dagar.

Därefter börjar det egentliga arbetet: riskhanteringsåtgärder, en incidentrutin som klarar 24 timmar till tidig varning och 72 timmar till incidentanmälan, och ett ledningsansvar som ska gå att visa.

Att inte omfattas är ett giltigt utfall, men det är ett utfall som ska gå att visa. Dokumentera vilken sektorsbeskrivning ni jämförde mot och vilka storlekssiffror ni använde, med datum.

Två saker gör att bedömningen behöver göras om. Verksamheten växer förbi en storleksgräns, eller så ändras det ni gör så att en annan sektorsbeskrivning börjar passa. Sätt en påminnelse hellre än att lita på att någon kommer ihåg.

Och även den som hamnar utanför kan träffas indirekt. Kunder som omfattas ställer krav på sina leverantörer, eftersom leverantörskedjan är en uttrycklig del av deras eget ansvar.