Valt uw bedrijf onder NIS2, en is het essentieel of belangrijk?

De richtlijn somt soorten entiteiten per sector op; een bedrijf valt binnen het toepassingsgebied door er een te zijn, niet door er een te beleveren. Kies de regel die beschrijft wat u levert. Een softwarebedrijf dat zijn product als dienst exploiteert, is meestal een aanbieder van cloudcomputingdiensten; een dat de systemen van klanten beheert, een aanbieder van beheerde diensten.

Grootteklassen zoals de bijlage bij Aanbeveling 2003/361/EG ze definieert, geteld voor de onderneming met haar partnerondernemingen en verbonden ondernemingen. Artikel 2(1) van de richtlijn neemt middelgrote ondernemingen en groter. Het in één boekjaar over- of onderschrijden van een drempel verandert de status niet: op grond van artikel 4, lid 2, van dezelfde bijlage verandert die pas wanneer de drempels in twee opeenvolgende boekjaren worden over- of onderschreden.

Artikel 2(2) tot en met (4) brengen sommige entiteiten binnen ongeacht hun omvang. De eerste vier worden bepaald door wat u levert; de volgende twee vereisen een besluit van uw lidstaat, die u dat heeft meegedeeld; de laatste is een status onder de richtlijn over kritieke entiteiten.

Artikel 26 geeft elke entiteit één lidstaat. Voor aanbieders van cloudcomputing-, datacentrum-, contentlevering-, beheerde, beheerde beveiligings-, marktplaats-, zoekmachine- en socialenetwerkdiensten is dat de hoofdvestiging in de Unie, de plaats waar de beslissingen over cyberbeveiliging overwegend worden genomen; een aanbieder die niet in de Unie is gevestigd, wijst een vertegenwoordiger aan in een lidstaat waar hij diensten aanbiedt (artikel 26(3)).