Spørgsmålet kommer i to former: »Skal vi registrere os under NIS2?« og »Vi missede registreringsfristen, hvad nu?«. Begge har det samme første svar: Der er to registreringer i direktiv (EU) 2022/2555, med forskellige enheder, forskellige oplysninger, forskellige frister og forskellige modtagere, og de fleste virksomheder, der spørger, står på én liste og nogle få på begge. Denne artikel er de to lister, som direktivet skriver dem, læst i teksten, med datoerne og det, der skal opbevares.
Den første liste: hver væsentlig og vigtig enhed (artikel 3(3) og (4))
Artikel 3(3): »Senest den 17. april 2025 udarbejder medlemsstaterne en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester«, revideret og ajourført med jævne mellemrum, »mindst hvert andet år«. Listen er statens, ikke enhedens, men enheden fodrer den. Artikel 3(4) lader medlemsstaterne pålægge disse enheder at indgive »mindst følgende oplysninger til de kompetente myndigheder«:
| Artikel 3(4) | Hvad der indgives |
|---|---|
| (a) | Enhedens navn |
| (b) | Adresse og ajourførte kontaktoplysninger, »herunder e-mailadresser, IP-intervaller og telefonnumre« |
| (c) | I givet fald den relevante sektor og delsektor i bilag I eller II |
| (d) | I givet fald en liste over de medlemsstater, hvor enheden leverer tjenester, der er omfattet af direktivets anvendelsesområde |
Ændringer meddeles »straks« og »under alle omstændigheder senest to uger efter datoen for ændringen«. Kommissionen fastlægger med ENISA retningslinjer og skabeloner, og medlemsstaterne »kan indføre nationale mekanismer, hvorigennem enheder kan registrere sig selv«, hvilket er den selvregistreringsportal, en virksomhed møder i praksis. »Mindst« betyder, at en stat kan bede om mere gennem de mekanismer.
Artikel 3(5) siger, hvad listen er til: Senest den 17. april 2025 og derefter hvert andet år meddeler de kompetente myndigheder Kommissionen og samarbejdsgruppen antallet af væsentlige og vigtige enheder pr. sektor og delsektor, og Kommissionen oplysninger om de enheder, der er identificeret efter de størrelsesuafhængige regler i artikel 2(2), litra (b) til (e). Listen er, hvordan en tilsynsmyndighed ved, hvem den fører tilsyn med, og hvordan Unionen tæller sin regulerede population.
Den anden liste: ENISA's register over digitale enheder (artikel 27)
Artikel 27(1) lader ENISA »oprette og føre« et register over elleve typer enheder: DNS-tjenesteudbydere, topdomænenavneadministratorer, enheder, der leverer domænenavnsregistreringstjenester, udbydere af cloudcomputingtjenester, af datacentertjenester, af indholdsleveringsnetværk, af administrerede tjenester, af administrerede sikkerhedstjenester, af onlinemarkedspladser, af onlinesøgemaskiner og af platforme for sociale netværkstjenester. Det er de enheder, hvis jurisdiktion følger deres hovedforretningssted i stedet for hver stat, de betjener (artikel 26(1)(b)), hvilket er grunden til, at Unionen vil have ét register over dem. En SaaS-virksomhed er en udbyder af cloudcomputingtjenester, og en MSP eller MSSP står på listen pr. definition, så de fleste software- og it-servicevirksomheder, der overhovedet er omfattet, står også på denne anden liste.
Artikel 27(2) lader medlemsstaterne pålægge disse enheder at indgive følgende »senest den 17. januar 2025«:
| Artikel 27(2) | Hvad der indgives |
|---|---|
| (a) | Enhedens navn |
| (b) | Den relevante sektor, delsektor og type af enhed i bilag I eller II, i givet fald |
| (c) | Adressen på enhedens hovedforretningssted og dens andre retlige forretningssteder i Unionen eller, hvis den ikke er etableret i Unionen, på dens repræsentant udpeget i henhold til artikel 26(3) |
| (d) | Ajourførte kontaktoplysninger, herunder e-mailadresser og telefonnumre på enheden og i givet fald dens repræsentant |
| (e) | De medlemsstater, hvor enheden leverer tjenester |
| (f) | Enhedens IP-intervaller |
Ændringer meddeles »straks og under alle omstændigheder senest tre måneder efter den dato, hvor ændringen trådte i kraft« (artikel 27(3)). Det centrale kontaktpunkt videresender oplysningerne til ENISA, med undtagelse af dem i stk. 2, litra (f): IP-intervallerne forbliver nationale (artikel 27(4)). Hvor en stat har en national selvregistreringsmekanisme efter artikel 3(4), går indgivelsen efter artikel 27 gennem den (artikel 27(5)). Registret er ikke offentligt: ENISA giver de kompetente myndigheder adgang efter anmodning, »idet det i givet fald sikrer de nødvendige garantier til at beskytte fortroligheden af oplysninger« (artikel 27(1)), så en virksomhed kan ikke slå sig selv op der, og en kunde kan ikke tjekke en leverandør der.
Hvilken stat, og hvad registrering ikke afgør
Modtageren er den kompetente myndighed i den stat, der har jurisdiktionen. For de fleste enheder er det etableringsstaten (artikel 26(1)); for de elleve digitale typer er det staten for hovedforretningsstedet, »den medlemsstat, hvor beslutningerne vedrørende foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes«, ellers den, hvor der udføres cybersikkerhedsoperationer, ellers forretningsstedet med det største antal ansatte i Unionen (artikel 26(2)). En enhed, der ikke er etableret i Unionen, men udbyder disse tjenester der, udpeger en repræsentant i en af de stater, hvor den gør det (artikel 26(3)), og registrerer sig der. Hver medlemsstats side nævner den lov, staten har meddelt som sin NIS2-lov, og dens CSIRT; gennemførelsesregistret er der, hvor den nationale mekanisme findes, for direktivet nævner den ikke.
Registrering afgør ikke, om du er væsentlig eller vigtig; det gør størrelsesreglen og de størrelsesuafhængige regler, og statens liste registrerer resultatet. Ikke at registrere sig tager dig ikke ud af anvendelsesområdet: Artikel 3(4) er en pligt for enheden, og artikel 36 lader medlemsstaterne fastsætte sanktioner for overtrædelser af de nationale foranstaltninger, »effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning«, og det er der, en forsinket eller manglende registrering sanktioneres. De to datoer, den 17. januar 2025 og den 17. april 2025, er passeret; en enhed, der missede dem, har stadig pligten og opfylder den ved at indgive nu, gennem den nationale mekanisme, hvor der findes en, og ved fra da af at overholde fristerne på to uger og tre måneder for ændringer.
Den registrering, der skal opbevares
Det, der overlever en myndigheds spørgsmål, er en registreringsoptegnelse: de indgivne oplysninger, efter hvilken artikel, til hvilken myndighed, på hvilken dato, med kvitteringen; og en ændringslog, for de oplysninger, der oftest ændrer sig, kontaktoplysninger, IP-intervaller, de betjente stater, er dem med en frist på to uger eller tre måneder. Typen i bilag I eller II i litra (b) i artikel 27(2) er den samme række, som afgørelsen af anvendelsesområdet starter fra, på læserens sprog, og den stat, den nævner, er den, hvis myndighed modtager indgivelsen.
Kilder
- Direktiv (EU) 2022/2555 (NIS2), artikel 2(2), artikel 3(3) til (5), artikel 26(1) til (3), artikel 27, artikel 36, betragtning 117.
Dette er ikke juridisk rådgivning. Registreringsmekanismen, formularen og sanktionen for en overskredet dato står i hver medlemsstats gennemførelseslov, som efter direktivet er den tekst, der skal læses.