[{"data":1,"prerenderedAt":10},["ShallowReactive",2],{"article:da:nis2-for-onlinemarkedspladser-soegemaskiner-og-sociale-netvaerk-de-digitale-udbydere-i-bilag-ii-og-hvorfor-de-aldrig-er-vaesentlige-i-kraft-af-stoerrelse":3},{"locale":4,"slug":5,"title":6,"description":7,"published":8,"body":9},"da","nis2-for-onlinemarkedspladser-soegemaskiner-og-sociale-netvaerk-de-digitale-udbydere-i-bilag-ii-og-hvorfor-de-aldrig-er-vaesentlige-i-kraft-af-stoerrelse","NIS2 for onlinemarkedspladser, søgemaskiner og sociale netværk: de digitale udbydere i bilag II, og hvorfor de aldrig er væsentlige i kraft af størrelse","Tre definitioner lånt fra tre andre retsakter afgør, om en platform er en digital udbyder efter NIS2: en markedsplads, hvor forbrugere indgår fjernsalgsaftaler, en søgemaskine, der søger på principielt alle websteder, en platform, hvor slutbrugere kommer i forbindelse og deler. Omfattet fra mellemstor størrelse, vigtige efter artikel 3(2), hvor store de end er, under hovedforretningsstedets lov, i ENISA's register, under gennemførelsesforordning 2024\u002F2690 med egne hændelsestærskler i artikel 11 til 13: ingen 30-minuttersregel, en andel af brugerne i stedet.","2026-09-12","\nBilag II til direktiv (EU) 2022\u002F2555 har en sektor kaldet »digitale udbydere« med tre rækker: udbydere af onlinemarkedspladser, af onlinesøgemaskiner og af platforme for sociale netværkstjenester. Det er de eneste platformsforretninger, direktivet nævner, og de står i bilaget over »andre kritiske sektorer«, ikke i bilaget over »særlig kritisk betydning«, hvilket afgør noget, en platforms juridiske rådgiver først vil vide: Hvor stor den end bliver, er den en vigtig enhed og ikke en væsentlig, medmindre en medlemsstat gør den til en. Denne artikel tager de tre definitioner, statussen, staten, registret og de tærskler, der er særlige for disse tre, og hvor grænsen til en SaaS-virksomhed og til Cyber Resilience Act går.\n\n## Tre definitioner, lånt fra tre retsakter\n\nNIS2 definerer to af de tre ved henvisning. Artikel 6(28) henviser for »onlinemarkedsplads« til artikel 2, litra n), i direktiv 2005\u002F29\u002FEF, som lyder: »en tjenesteydelse, der gør brug af software, herunder et websted, en del af et websted eller en applikation, der drives af eller på vegne af den erhvervsdrivende, der giver forbrugere mulighed for at indgå fjernsalgsaftaler med andre erhvervsdrivende eller forbrugere«. Artikel 6(29) henviser for »onlinesøgemaskine« til artikel 2, nr. 5), i forordning (EU) 2019\u002F1150: »en digital tjeneste, som giver brugerne mulighed for at indtaste forespørgsler for at foretage søgninger på principielt alle websteder eller alle websteder på et bestemt sprog på grundlag af en forespørgsel om et hvilket som helst emne ved hjælp af et søgeord, en stemmesøgning, en sætning eller andet input, og som fremviser resultater i et hvilket som helst format, hvor der kan findes oplysninger om det ønskede indhold«. Artikel 6(33) definerer den tredje selv: En platform for sociale netværkstjenester er »en platform, der sætter slutbrugere i stand til at komme i forbindelse, dele, opdage og kommunikere med hinanden på tværs af forskellige anordninger, navnlig via chats, opslag, videoer og anbefalinger«.\n\nHver definition har en kant, der udelukker en forretning, som ville kalde sig selv ved navnet. Markedspladsdefinitionen er skrevet for forbrugere: En platform, hvor erhvervsdrivende kun indgår aftaler med andre erhvervsdrivende, er ikke en »onlinemarkedsplads« efter artikel 2(n), uanset størrelse, og snarere en udbyder af cloudcomputingtjenester for den software, den driver. Søgemaskinedefinitionen kræver søgninger på »principielt alle websteder«: Et søgefelt over ét websted, ét katalog eller én virksomheds dokumenter er en funktion, ikke en søgemaskine. Definitionen af sociale netværk kræver, at slutbrugere kommer i forbindelse og kommunikerer med hinanden på tværs af anordninger, hvilket et kommentarfelt under artikler ikke opfylder, og en community-platform gør. [De tre rækker står ordret i værktøjet til anvendelsesområdet, med resten af bilag I og II](\u002Fnis2\u002Fscope).\n\n## Vigtige, hvor store de end er\n\nArtikel 2(1) omfatter en enhed af en opregnet type fra mellemstor størrelse: 50 ansatte eller flere, eller over 10 mio. EUR i både omsætning og balance, talt for virksomheden med dens partnervirksomheder og tilknyttede virksomheder. Derunder er en platform udenfor som enhed, medmindre dens medlemsstat identificerer den efter artikel 2(2)(b) til (e). Derover er platformen en vigtig enhed efter artikel 3(2), og den forbliver vigtig uanset størrelse, fordi artikel 3(1)(a), reglen, der gør store enheder væsentlige, kun rammer »enheder af en type, som er omhandlet i bilag I«. De to veje, ad hvilke en platform i bilag II bliver væsentlig, er en afgørelse fra medlemsstaten efter artikel 3(1)(e), som først kræver en identifikation efter artikel 2(2)(b) til (e), og at være identificeret som kritisk enhed efter direktiv (EU) 2022\u002F2557 (artikel 3(1)(f)).\n\nVigtig betyder tilsyn efter artikel 33, efterfølgende, på beviser eller tegn på manglende overholdelse, og bødeloftet i artikel 34(5) på mindst 7 000 000 EUR eller 1,4 % af den globale omsætning, alt efter hvad der er højest. Foranstaltningerne i artikel 21 og urene i artikel 23 er de samme som for en væsentlig enhed. [De syv måder at være væsentlig på, og hvad statussen ændrer, er en artikel for sig](\u002Farticles\u002Fessential-or-important-under-nis2-the-size-rule-the-size-blind-rules-and-the-seven-ways-to-be-essential).\n\n## Én stat, registret og forordningen\n\nDe tre digitale udbydere står på listen i artikel 26(1)(b), så jurisdiktionen går til den medlemsstat, hvor hovedforretningsstedet i Unionen ligger, »den medlemsstat, hvor beslutningerne vedrørende foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes« (artikel 26(2)), og en platform etableret uden for Unionen, der udbyder sin tjeneste der, udpeger en repræsentant i en medlemsstat, hvor den gør det (artikel 26(3)). Statens retsakt, som meddelt til Kommissionen, står [i gennemførelsesregistret](\u002Fnis2\u002Ftransposition).\n\nDe står også på listen i artikel 27: Platformen skulle senest den 17. januar 2025 indsende navn, sektor, adresser, kontaktoplysninger, betjente medlemsstater og IP-intervaller til sin kompetente myndighed til ENISA's register og meddeler ændringer inden for tre måneder.\n\nOg de står i artikel 1 i gennemførelsesforordning (EU) 2024\u002F2690, så de tekniske og metodologiske krav til foranstaltningerne i artikel 21(2) er forordningens bilag, 13 afsnit, de samme i hver stat, [kortlagt afsnit for afsnit til ISO 27001](\u002Fnis2\u002Fiso-27001-mapping).\n\n## Tærsklerne er en andel af brugerne, ikke et ur\n\nFor cloud- og managed service-udbydere er forordningens første kriterium tid: en tjeneste, der er fuldstændig utilgængelig i mere end 30 minutter. For de tre digitale udbydere er det ikke. Artikel 11, 12 og 13 giver markedspladser, søgemaskiner og sociale netværk de samme fire kriterier, og ingen af dem har en varighed: Platformen er fuldstændig utilgængelig for mere end 5 % af dens brugere i Unionen eller mere end 1 mio. af dem, alt efter hvilket tal der er lavest; mere end 5 % eller mere end 1 mio. af dens brugere i Unionen er påvirket af begrænset tilgængelighed; integriteten, fortroligheden eller autenticiteten af lagrede, overførte eller behandlede data er bragt i fare som følge af en formodet ondsindet handling; eller bragt i fare med virkning for mere end 5 % eller mere end 1 mio. af dens brugere i Unionen, alt efter hvilket tal der er lavest. De generelle kriterier i artikel 3(1) gælder oveni: det direkte økonomiske tab over 500 000 EUR eller 5 % af omsætningen, afsløring af forretningshemmeligheder, død eller betydelig skade på helbredet, den opnåede og formodet ondsindede adgang, der kan forårsage alvorlige driftsforstyrrelser. Brugere tælles efter artikel 3(3) som kunder med kontrakt plus de fysiske og juridiske personer med tilknytning til erhvervskunder, som anvender tjenesten, hvilket for en markedsplads betyder købere og sælgere og for en søgemaskine eller et socialt netværk de mennesker, der bruger den.\n\nKonsekvensen for en hændelsesprocedure er, at platformen skal kende sit brugertal i Unionen og den andel, et nedbrud rammer, i de første timer, fordi det tal er væsentlighedstesten. Et fem minutters totalt nedbrud af en platform med 30 mio. brugere i Unionen er en væsentlig hændelse; et to timers nedbrud for 2 % af dem er det ikke, alene på tilgængelighed. Så artikel 23: tidlig varsling inden for 24 timer efter kendskab, underretning inden for 72 timer, endelig rapport inden for en måned. [Urene, med tærsklerne citeret i deres helhed, er en artikel for sig](\u002Farticles\u002Fnis2-or-cra-which-incident-clock-runs-for-a-software-company-and-what-makes-an-incident-significant).\n\n## Grænserne til en SaaS-virksomhed og til CRA\n\nEn platform er også software som en service for de virksomheder, der sælger eller annoncerer på den, og en virksomhed kan være både markedsplads og udbyder af cloudcomputingtjenester for forskellige dele af det, den tilbyder; rækken i bilag I bringer så muligheden for at være væsentlig i kraft af størrelse med sig. [NIS2 for en SaaS-virksomhed er en artikel for sig](\u002Farticles\u002Fnis2-for-a-saas-company-you-are-a-cloud-computing-service-provider-and-this-is-what-follows). Cyber Resilience Act rammer kun platformen der, hvor den leverer noget installeret: en mobilapp, en kasseklient til sælgere, et SDK. Platformen tilgået gennem en browser er ikke et produkt med digitale elementer, efter Kommissionens egen læsning af forordning (EU) 2024\u002F2847, og hændelsesoptegnelsen er én optegnelse med NIS2-formularen og, for appen, CRA-formularen. [Hvilken lov der rammer hvilken del, er artiklen for det](\u002Farticles\u002Fcra-or-nis2-which-one-applies-to-a-software-company).\n\n## Kilder\n\n- Direktiv (EU) 2022\u002F2555 (NIS2), artikel 2(1) og (2), artikel 3(1) og (2), artikel 6(28), (29) og (33), artikel 21(2), artikel 23(4), artikel 26(1) til (3), artikel 27(1) til (3), artikel 33, artikel 34(5), bilag II punkt 6.\n- Direktiv 2005\u002F29\u002FEF, artikel 2, litra n), som ændret ved direktiv (EU) 2019\u002F2161; forordning (EU) 2019\u002F1150, artikel 2, nr. 5).\n- Kommissionens gennemførelsesforordning (EU) 2024\u002F2690, artikel 1, artikel 3, artikel 11 til 13, bilaget.\n- Kommissionens henstilling 2003\u002F361\u002FEF, bilaget, artikel 2 og 3.\n\nDette er ikke juridisk rådgivning. Medlemsstatens retsakt nævner myndigheden, portalen og formularen og kan identificere en platform efter artikel 2(2)(b) til (e) og gøre den væsentlig efter artikel 3(1)(e).\n",1789383965831]