NIS2-avgränsning: bedömning till fast pris, innehåll och leveranstid besvarar frågan om er verksamhet omfattas av NIS2-reglerna och vilken kategori som gäller. Bedömningen levereras som ett fastprisuppdrag med definierat innehåll: genomgång av verksamhet, sektorstillhörighet och storlekskriterier, samt en skriftlig slutsats. Leveranstiden bestäms av hur komplett underlaget är vid uppstart.
Vem berörs
Frågan uppstår i skedet innan verksamheten vet om den alls omfattas av regelverket. Typiskt är det bolag i sektorer som traditionellt inte räknats som samhällsviktiga, men som ingår i en leverantörskedja till någon som är det, eller bolag som är del av en koncern där ett annat bolag redan bedöms vara skyldigt enligt NIS2.
Osäkerheten är särskilt stor i koncerner med verksamhet i flera länder. Om moderbolaget finns utanför Sverige, eller om en väsentlig del av leveranskedjan går via ett utländskt dotterbolag, påverkar det hur avgränsningen ska göras. Bedömningen tar därför alltid med koncernstrukturen, inte bara det svenska bolaget isolerat.
Den som redan vet att bolaget omfattas har normalt inte behov av en avgränsningsbedömning, utan av nästa steg: registrering och efterlevnad. Produkten som beskrivs här är avsedd för det tidigare skedet, där svaret ännu inte är givet.
Vad regelverket säger
Regelverket delar in verksamheter efter sektor och storlek, och avgränsningen görs mot båda kriterierna samtidigt. Ett bolag kan vara undantaget på storlek men ändå omfattas om det ingår i en kritisk leveranskedja, och ett bolag kan tillhöra en sektor som i grunden omfattas men ändå falla utanför på grund av sin storlek eller verksamhetens karaktär.
Var gränsen går för det enskilda bolaget avgörs inte av en enskild uppgift, utan av kombinationen av sektor, storlek, ägarstruktur och den roll bolaget har i andras leveranskedjor. Under gällande svensk rätt görs prövningen från fall till fall, och ett generellt svar utan att se underlaget är i praktiken aldrig tillförlitligt.
Det är den kombinationen, inte en enskild bestämmelse, som bedömningen till fast pris är byggd för att reda ut.
Så fungerar det i praktiken
Vad ingår i bedömningen
- Genomgång av verksamhetens sektorstillhörighet mot de kategorier som är relevanta för avgränsningen.
- Bedömning av koncernstruktur och eventuella utländska moder- eller dotterbolag som påverkar utfallet.
- Genomgång av bolagets roll i kunders och leverantörers leveranskedjor, i den utsträckning underlaget medger det.
- En skriftlig slutsats om bolaget bedöms omfattas, inte omfattas, eller om frågan kräver ytterligare underlag för ett säkert svar.
- En kort motivering till slutsatsen, avsedd att kunna användas direkt för styrelsebeslut eller vidare utredning.
Vad ingår inte
- Registrering hos tillsynsmyndigheten. Det är ett separat uppdrag som förutsätter att avgränsningen redan är klar.
- Genomförande av de tekniska och organisatoriska åtgärder som följer av att bolaget omfattas.
- Bedömning av enskilda avtal eller enskilda leverantörsrelationer utöver det som krävs för själva avgränsningen.
- Löpande rådgivning efter leverans. Uppföljande frågor hanteras som ett separat uppdrag.
Underlag som krävs för uppstart
- Aktuell bolagsstruktur, inklusive ägarandelar och eventuella utländska bolag i kedjan.
- Beskrivning av verksamheten och de tjänster eller produkter som levereras.
- Uppgift om omsättning och antal anställda för de bolag som ingår i bedömningen.
- Uppgift om de viktigaste kund- och leverantörsrelationerna, om bolaget är osäkert på sin roll i andras leveranskedjor.
Hur avgränsningen görs steg för steg
1. Underlaget gås igenom och kompletteringsfrågor skickas om något saknas.
2. Sektorstillhörighet prövas mot de kategorier som är relevanta för verksamheten.
3. Storlekskriterierna prövas separat, inklusive konsekvenserna av koncerntillhörighet.
4. Rollen i andras leveranskedjor vägs in där den är relevant för utfallet.
5. Slutsatsen skrivs och levereras skriftligt, med motivering.
Vad du får levererat
Leveransen är ett skriftligt dokument med en tydlig slutsats och den motivering som ligger till grund för den. Dokumentet är avsett att kunna läggas fram för styrelsen eller ledningsgruppen utan ytterligare bearbetning, och att kunna användas som underlag om bolaget senare behöver visa hur avgränsningen gjordes.
Vad som styr leveranstiden
Leveranstiden bestäms i första hand av hur komplett underlaget är vid uppstart. Ett bolag med enkel struktur och färdigt underlag får ett snabbare svar än ett bolag med flera utländska dotterbolag eller en leveranskedja som kräver klargöranden hos tredje part. Kompletteringsfrågor som besvaras med fördröjning flyttar leveransen i motsvarande utsträckning.
Det här bör kontrolleras innan uppdraget beställs
- Att bolagsstrukturen som lämnas in är aktuell, inte en äldre version.
- Att omsättnings- och personalsiffror avser rätt räkenskapsår och rätt juridisk enhet.
- Att eventuella utländska bolag i kedjan är identifierade, inte bara det svenska bolaget.
- Att den som beställer uppdraget har mandat att lämna ut uppgifter om koncernstruktur och kundrelationer.
Vad ingår i bedömningen av NIS2-avgränsning till fast pris?
Bedömningen omfattar genomgång av sektorstillhörighet, storlekskriterier och koncernstruktur, samt rollen i kunders och leverantörers leveranskedjor där det är relevant. Resultatet är en skriftlig slutsats med motivering, avsedd att användas direkt som underlag för styrelsebeslut eller vidare utredning. Uppdraget avslutas när slutsatsen är levererad.
Vad ingår inte i uppdraget?
Registrering hos tillsynsmyndigheten, genomförande av tekniska och organisatoriska åtgärder samt löpande rådgivning efter leverans ingår inte. De hanteras som separata uppdrag, eftersom de förutsätter att avgränsningen redan är klar och bygger på andra typer av underlag och beslut.
Hur lång är leveranstiden för bedömningen?
Leveranstiden avgörs av hur komplett underlaget är vid uppstart, inte av ett fast antal dagar. Ett bolag med enkel struktur och färdigt underlag får normalt ett snabbare svar än ett bolag med flera utländska dotterbolag eller oklarheter i leveranskedjan som kräver komplettering innan slutsatsen kan skrivas.
Siffrorna
Det finns inget generellt svar på hur lång tid en avgränsningsbedömning tar eller vad den kostar, eftersom båda beror på hur komplex koncernstrukturen är och hur komplett underlaget är vid uppstart. Uppdraget levereras till fast pris, men själva prisnivån och den uppskattade leveranstiden för er situation anges på produktsidan, inte i denna text.
Det som går att säga generellt är vilka faktorer som ökar omfattningen: fler bolag i koncernen, fler länder inblandade, och en leveranskedja där rollen som underleverantör till en annan reglerad aktör inte är självklar. Var och en av dessa faktorer är sällan avgörande på egen hand, men i kombination förlänger de både underlag och slutsats.
Där det brukar gå fel
Bedömningen till fast pris svarar på avgränsningsfrågan, inte på om bolaget redan borde ha agerat. Om bolaget har skäl att tro att det omfattas och ännu inte vidtagit några åtgärder, är avgränsningen fortfarande ett rimligt första steg, men den löser inte en situation där tidsfrister redan har passerat.
Ett vanligt fel är att lämna in bolagsstrukturen utan de utländska bolagen i kedjan, i tron att endast det svenska bolaget är relevant. Avgränsningen som görs på ett sådant underlag är inte fel i sig, men den svarar bara på frågan för det bolag som beskrivits, inte för koncernen som helhet, och kan behöva göras om när hela strukturen är känd.
Ett annat fel är att behandla en preliminär muntlig avstämning som tillräcklig för styrelsebeslut. Endast den skriftliga slutsatsen med motivering är avsedd att användas som underlag i det sammanhanget. En muntlig avstämning under arbetets gång är en del av processen, inte leveransen.
Bedömningen fungerar inte som en löpande övervakning. Om verksamheten, ägarstrukturen eller leveranskedjan ändras väsentligt efter leverans, är slutsatsen inte längre giltig utan att avgränsningen görs om.
Vad du gör härnäst
Den här texten går igenom vad en avgränsningsbedömning innehåller och vad som styr leveranstiden. Den ersätter inte en genomgång av det egna bolagets underlag, och den kan inte i sig avgöra om just er verksamhet omfattas.
Nästa steg är att beställa bedömningen till fast pris, där omfattning, pris och beräknad leveranstid för er situation anges innan uppdraget påbörjas. Den sidan är rätt utgångspunkt när bolagsstrukturen är sammanställd och frågan är redo att lämnas över.
För en bredare bild av vad regelefterlevnad inom cybersäkerhet omfattar, se praktikens översikt över regelefterlevnad och sanktioner.
Frågor som ofta dyker upp i angränsande sammanhang besvaras separat: hur ansvar för faktiska företrädare bedöms när avgränsningen missas på styrelsenivå, och hur hantering av IKT-risk hos finansiella aktörer skiljer sig från NIS2-avgränsningen när båda regelverken kan vara relevanta samtidigt.