2.1.1 Hvilke sektorer er viktige?

I NIS2 annex 1 og 2 jf. listes bransjer og virksomheter som vil reguleres (se NIS2 art. 2 (1)). Virksomhetene deles i to grupper;

1. essensielle (annex 1) og

2. viktige («important», annex 2).

innplassert i annexene i henhold til hvor kritisk sektoren er, type tjenester virksomhetene besørger og deres størrelse. ^{(7)Fortalepunkt 15.}

Hoveddelen av virksomhetene i annex 1 var omfattet også av NIS1 fra 2016. Siden NIS1 først i disse dager skal gjøres til norsk rett (gjennom forskrift), vi vi for oversiktens skyld gjennomgå også annex 1. Se pkt. 2.1.3 og 2.1.4.

2.1.2 Hva er en mellomstor virksomhet?

Hovedregelen i NIS2 er at bare mellomstore og større virksomheter omfattes (art. 2 (1)). Definisjonen av mellomstore virksomheter fremgår av 2003/361/EF. Ifølge anbefalingens annex, art. 2 anses virksomheter med flere 50 ansatte og omsetning eller balanse over 10 MEUR som mellomstore.

Omsetning skal vurderes utfra de siste godkjente regnskaper, beregnet månedlig. Moms og skatter skal ikke regnes inn. For nystartede virksomheter skal det gjøres en godtroberegning. Se annexes art. 4.

«Ansatte» viser til årsverk, men ikke bare fra formelt sett ansatte personer, men også «eierledere» og andre. Innleide konsulenter ser imidlertid ikke ut til å omfattes. Se annexet, art. 5.

Merk at det holder om enten omsetning eller balansen er over grensen, så lenge antall ansatte er over 50.

Nivået som er satt betyr at de fleste betydningsfulle virksomheter i Europa omfattes, offentlige og private. Men i Norge vil trolig en del virksomheter som kan være viktige gå klar. Som det fremgår av pkt. 2.3 vil i mange tilfeller dette størrelseskravet likevel ikke få noen betydning, bare virksomheten er viktig nok.

2.1.3 Essensielle virksomheter (annex 1)

NIS2 utvider både innholdet i kategoriene av essensielle enheter som tidligere var omfattet av NIS1 og legger til nye hovedgrupper. I NIS2 er for eksempel offentlig administrasjon eksplisitt listet, noe den overraskende nok ikke var i NIS1, på tross av sin samfunnsviktige funksjon.^{(8)Men offentlige virksomheter kunne bli omfattet også av NIS1, men da utfra virksomhetsklassifisering.}

Under følger en oversikt over virksomheter og bransjer som er omfattet. Opplistingen er ikke nødvendigvis uttømmende, men vil gi en oversikt. Mange av punktene viser videre til andre direktiver eller forordninger, som man kan slå opp i om man vil bore mer i ett virksomhetsområde.

Dersom disse rettsaktene gir lik eller bedre sikkerhet vil de gå foran NIS2.^{(9)Fortalepunkt 23.} Dette innebærer at virksomheter som faller utenfor det aktuelle sektorregelverket, reguleres av NIS2.

• Energi: All form for energiproduksjon, overføring og distribusjon, inkludert elektrisitet, fjernvarme, olje, gass og hydrogen. Kategorien energi omfatter også ladestasjoner for elektriske kjøretøy. Hydrogen og fjernvarme er nytt for i forhold til NIS1.

  • Elektrisitet: Også markedsoperatører og deltagere omfattes.

  • Fjernvarme vil typisk omfatte selskaper som Hafslund Fjernvarme.

  • Olje vil typisk omfatte virksomheter som Equinor, raffinerioperatører og rørledningsoperatører .

  • Gass vil typisk omfatte virksomheter som driver med flytende gass (LNG), naturgass, raffinering og annen behandling av gass.

  • Hydrogen vil typisk omfatte virksomheter som Norwegian Hydrogen, Greenstat og selvfølgelig Equinor.

• Transport: Sjøtransport (hav- og innlandsfrakt, men ikke individuelle fartøy), luft- og landtransport (flyselskaper, flyplasser, luftkontroll, jernbaneinfrastruktur og togselskaper, men ikke lastebilflåteoperatører). Store deler av verdikjeden er dermed dekket, på samme måte som i NIS1. Eksempler på regulerte virksomheter er dermed Statens Vegvesen, havnevesen som Oslo havn KF. Underkategorier omfatter:

  • flyselskaper,

  • flyplasser (typisk Avinor)

  • trafikkstyring, jernbane, vanntransport og veitransport gjenstand for egne direktiver og forordninger.

• Banker og finansinstitusjoner: NIS2 lister banker og andre finansinstitusjoner som omfattet, samtidig som det fremgår av fortalepunkt 28 at DORA skal gå foran.^{(10)Forordning (EU) 2022/2554 (Digital operasjonell motstandskraft for finansnæringen, DORA).} En naturlig tolkning vil være at NIS2 omfatter eventuelle virksomheter i finansbransjen og systemer som ikke måtte være omfattet av DORA. Denne grensen bør gå opp av finansinstitusjoner.

• Finansinfrastruktur: Børser og uregulerte handelsplattformer, samt infrastrukturer som Central Counterparties (CCPs).

• Helse: Kategorien omfatter tre undergrupper, hvorav de to siste er nye i forhold til NIS1.

  • Den undergruppen første gjelder leverandører av helsetjenester, og vil typisk omfatte sykehus og legeklinikker.

  • laboratorier

  • forsknings- og utviklingsinstitusjoner for medisinske produkter, produsenter av medisiner og miksturer, produsenter av medisinsk utstyr ansett som kritisk under en offentlig helsekrise, som for eksempel pustemaskiner under covid-19-pandemien.

• Drikkevann: Leverandører og distributører av drikkevann for menneskelig konsum. Kommunale vannverk er typiske eksempler.

• Avløpsvann: Virksomheter som samler inn, blir kvitt eller behandler kloakk, omfattes i NIS2, som nytt i forhold til NIS1.

• Digital infrastruktur: Basis internettinfrastruktur som internettkoblingssentraler og DNS-tjenester, IKT-forvaltningstjenester (næring-til-næring), skylagringsoperatører, datasentere, innholdsleveringsnettverk (CDN), tilbydere av tillitstjenester (elektroniske signaturer, segl, tidsstempler og sertifikater for nettstedsautentisering), og elektroniske kommunikasjonsnettverk. Betydningen av fysisk sikkerhet understrekes spesielt i fortalepunkt 31. Også dette punktet er nytt i NIS2 i forhold til NIS1.

• IKT tjenesteleverandører: Enda en ny sektor dekket av NIS2 er leverandører av forvaltningstjenester og sikkerhetstjenesteleverandører. ^{(11)«Managed service providers» og «managed security service providers».} Denne sektoren har blitt stor, og leverer trolig broparten av slike IT og sikkerhetsrelaterte tjenester.

• Offentlig administrasjon: Både sentral og regionaladministrasjonen omfattes, slik denne angis av nasjonal lovgivning. Også ny i NIS2.

• Romfart: Til sist i listen i annex 1 kommer romfart, som har blitt en stor bransje som mye samfunnsviktig infrastruktur avhenger av. NIS2 introduserer derfor regulering av den bakkebaserte infrastrukturen som støtter leveranse av rombaserte tjenester. Bakkestasjoner for mottak av satellittsignaler og oppskytingsanlegg for raketter vil være eksempler på dette.

2.1.4 Viktige virksomheter (annex 2):

Den andre kategorien av virksomheter listes i annex 2 og inkluderer en rekke andre sektorer som anses som «viktige», men ikke like kritiske som de essensielle enhetene. De fleste av disse er nye med NIS2:

• Post- og leveringstjenester: Såfremt virksomheten er en del av transportør-lenken, som for eksempel en hentetjenester, omfattes den. ^{(12)Fortalepunkt 12.} Eksempler er Posten, Postnor og budtjenester, gitt at størrelseskravet er oppfylt.

• Avfallshåndtering: En rekke av landets større rennovasjonsselskaper vil være omfattet av NIS2.

• Kjemisk produksjon og distribusjon: Se nærmere i den aktuelle forordningen for hvilke typer kjemikalier som er omfattet.

• Matproduksjon, -foredling og -distribusjon: Slakterier, bakerier, fiskeoppdrettere, produsenter av ferdigmat og andre virksomheter involvert i matproduksjon, omfattes bare de er store nok. Den kanskje største vil være Orkla.

• Tilvirkning: Virksomheter som lager:

  • Medisinsk utstyr (inkludert ikke-kritisk utstyr i en krisesituasjon) og diagnoseutstyr for bruk utenpå kroppen.^{(13)«utvortes» som det heter på fint.}

  • Datamaskiner, elektronikk og optiske produkter.

  • Maskineri og utstyr utgjør en stor undergruppe, som omfatter 21 kategorier maskineri som for eksempel motorer, turbiner, pumper, ventilasjonsutstyr, jordbruksutstyr, næringsmiddelutstyr, traktorer, ploger, tekstilmaskiner som angitt i detalj i klassifikasjonssystemet NACE rev.2. ^{(14)NACE: Statistical classification of economic activities in the European Community fra Eurostat}

  • Motorkjøretøy, trailere og semitrailere, samt deler til disse, igjen som angitt i NACE rev. 2.

  • Annet transportutstyr, som for eksempel båter, tog, jagerfly, romskip.

• Digitale leverandører: I likhet med NIS1 omfattes leverandører av nettbaserte markedsplasser og søkemotorer. Nytt i NIS2 er plattformer for sosiale nettverk, som Facebook og TikTok.

• Forskning: Heller ikke forskningsorganisasjoner var omfattet av NIS1. Et eksempel kan være SINTEF. Begrunnelsen er bl.a. å unngå industrispionasje og tap av forretningshemmeligheter.^{(15)Fortalepunkt 88.}

Omfanget av virksomheter som er omfattet av NIS2 er betydelig utvidet sammenlignet med NIS1, noe som reflekterer den økende digitaliseringen av samfunnet. Kategoriseringen av virksomheter som essensielle eller viktige reflekterer en vurdering av både viktighet og sårbarhet. For eksempel er matproduksjon svært viktig, men anses mindre sårbart, trolig fordi det er mulig å distribuere uten IT-systemer og folk ofte har beredskapslagre.

Implementeringen av NIS2 forventes å styrke Europas generelle cybersikkerhet ved å sikre at flere sektorer oppfyller strenge sikkerhetskrav og rapporteringsforpliktelser.

Kategoriseringen av virksomheter som essensielle eller viktige reflekterer en vurdering av både viktighet og sårbarhet.

2.4.1 «All Hazard»-tilnærmingen

All hazard-tilnærmingen i NIS2 art. 21 (2) pålegger essensielle og viktige enheter å beskytte seg mot alle typer farer som kan påvirke sikkerheten i nettverks- og informasjonssystemer.^{(17)Dansk NIS2 art. 21 (2): 2.«De i stk. 1 omhandlede foranstaltninger baseres på en tilgang, der omfatter alle farer og sigter på at beskytte net- og informationssystemer og disse systemers fysiske miljø mod hændelser, og mindst omfatter følgende:»} Denne tilnærmingen krever en omfattende vurdering av potensielle trusler, inkludert de som oppstår i forsyningskjeden. Kravet gjelder også NISenes fysiske omgivelser, og kan omfatte sikring mot tyveri, brann, flom, uautorisert fysisk tilgang, jordskjelv, eksplosjoner og sabotasje.

Ved å regulere sikkerheten i forsyningskjeden, kan offentlige og private virksomheter redusere risikoen for at svakheter hos underleverandører skal kompromittere hele systemet.

Art. 21 (2) lyder:

Det mest iøynefallende i litra d er begrensningen til direkte underleverandører. En SaaS-tjeneste kan i dag lett består av fire ledd under kunden (for eksempel infrastrukturleverandør, plattformleverandør, SaaS-leverandør og systemintegrator). Da blir det viktig å merke seg at tiltakene minst skal omfatte direkte leverandør. Kravet til «all-fare-tilnærming» tilser at flere ledd i leveransekjeden må sikres for å «forhindre hændelser eller minimere deres indvirkning på modtagere af deres tjenester og på andre tjenester», slik den danske utgaven av NIS2 art. 21 (1) uttrykker det. I samme retning fastsetter NIS2 art. 1 at målet er å «opnå et højt fælles cybersikkerhedsniveau».

Dermed er det klart at virksomheter i mange tilfeller vil være ansvarlige for å sikre flere ledd nedover i leveransekjeden. Men plikten begrenses av forholdsmessighetskravet som også fremgår av art. 21 (1). Begrensningen innebærer at tiltak skal vurderes utfra risiko, «state of the art», kostnader, virksomhetenes eksponering, størrelse og sannsynlighet for hendelser, og deres alvorlighetsgrad. Samfunnsmessig og økonomisk innvirkning skal også vurderes. For eksempel vil en leverandør av et journalsystem til et sykehus forventes å ha vesentlig bedre kontroll på leverandørkjeden enn en bilforhandler.

Art. 21 (3) d skiller heller ikke mellom virksomheter i EØS og utenfor, så lenge tjenesten ytes i EØS-området.

2.4.2 Ansvar for cybersikkerhet: Hvem i kjeden bør være ansvarlig?

NIS2 art. 21 (1) slår fast at det er essensielle og viktige virksomheter som er ansvarlig for sikkerheten i NISer. Det kan være en strømprodusent, et vannverk, renovasjonsselskap eller en fiskeoppdretter. Felles for disse og mange andre omfattede virksomheter er at de oftest mangler tung programvare- og cybersikkerhetskompetanse. De vil vanligvis kjøpe systemer inn fra tredjeparter, men likevel forblir ansvaret hos virksomheten.

Et nærliggende spørsmål er derfor hvilken enhet som er best egnet til å sikre cybersikkerheten i forsyningskjeden og hvordan denne bør og kan gjøres ansvarlig. Hovedleverandøren av produktet i forsyningskjeden vil ofte være den som er best posisjonert til å overvåke og sikre hele kjeden. Hovedleverandøren bygger systemet, har direkte kontakt med sine underleverandører og vet mye om hvilke under­leverandører disse under­leverandørene igjen benytter. Med en del innsats kan kontroll over hele leveransekjeden kanskje oppnås. For renovasjonsselskapet, vannverket og andre virksomheter vil denne jobben være vesentlig tyngre, og i mange tilfeller praktisk talt umulig.

En bedre regulering kunne dermed vært å pålegge ansvar direkte til aktørene i leveransekjeden. Dette er løsningen som personvernforordningen (pvf.) introduserte ved å gjøre ikke bare behandlingsansvarlige ansvarlige (som tidligere), men pålegge også databehandler plikter. Siden NIS2 er et minimumsdirektiv, vil en slik tilnærming være mulig i Norge, men neppe særlig effektiv uten at øvrige land i EØS implementerer en lik regel.

Den nye forordningen om Digital operasjonell motstandskraft for finansnæringen (DORA) har tatt logikken i pvf. et skritt videre, og inkorporer reguleringen av avtaler med underleverandører i en rekke bestemmelser.^{(18)Regulation (EU) 2022/2554 of the European Parliament and of the Council of 14 December 2022 on digital operational resilience for the financial sector and amending Regulations (EC) No 1060/2009, (EU) No 648/2012, (EU) No 600/2014, (EU) No 909/2014 and (EU) 2016/1011. Trådte i kraft i EU 17. januar 2025. Fortalepunkt 29 gir en innføring i tankegangen.} Det er litt overraskende at ikke NIS2 har vært grundigere på dette området.

Det er litt overraskende at ikke NIS2 har vært grundigere på dette området.

2.4.3 Kontraktuelle tiltak

NIS2s ordning er derimot basert på at den regulerte virksomheten iverksetter tiltak overfor sine leverandører. Av NIS2 fortalepunkt 85, fremgår det at kontrakter er et mulig slikt tiltak, på samme måte som databehandlingsavtaler er det etter pvf. art. 28. NIS2 stiller imidlertid ikke et eksplisitt krav til videre sikring nedover i kjeden slik pvf. art. 28 (4) gjør. Men gitt kravene til «all-fare»-tilnærmingen, er dette et kontraktuelt grep omfattede virksomheter bør vurdere for å få kontroll flere ledd ned i kjeden. Slike krav kan omfatte:

• Krav om overholdelse av spesifikke sikkerhetsstandarder og -protokoller.

• Regelmessige sikkerhetsvurderinger og revisjoner.

• Opplæring i cybersikkerhet for ansatte hos leverandører.

• Strenge retningslinjer for informasjonsdeling og tilgangskontroll.

Implementeringen av slike kontraktsmessige krav sikrer at alle leverandører, uavhengig av deres størrelse eller plass i forsyningskjeden, oppfyller de nødvendige sikkerhetsstandardene. Dette bidrar til å skape bedre sikkerhet.

2.4.4 Andre tiltak

Siden det ofte ikke vil være mulig for en omfattet virksomhet, og kanskje heller ikke for en hovedleverandør i kjeden, å sikre alle ledd, bør man tenke alternativt. Mest nærliggende er å sørge for at løsningen vil være sikker selv om ledd nedover i kjeden blir kompromittert. Sikring kan skje gjennom robust sikkerhetsstruktur, overvåkning, redundans og opplæring, for å nevne noen eksempler. Her vil en sikkerhetsekspert kunne bidra med verdifulle råd.