Fristen

NIS2-direktivet fastsatte at EU-medlemsstatene skulle gjennomføre direktivet i nasjonal rett innen 17. oktober 2024. Da fristen var utløpt, vurderte Kommisjonen om nasjonale tiltak var vedtatt og meldt inn i tilstrekkelig grad. Kunngjøringen 28. november beskrev derfor et institusjonelt oppfølgingssteg etter fristbrudd, ikke en ny dato for virksomhetenes direkte plikter.

De 23 landene

Kommisjonen åpnet prosedyrer mot Bulgaria, Tsjekkia, Danmark, Tyskland, Estland, Irland, Hellas, Spania, Frankrike, Kypros, Latvia, Luxembourg, Ungarn, Malta, Nederland, Østerrike, Polen, Portugal, Romania, Slovenia, Slovakia, Finland og Sverige. Norge var ikke blant disse landene, fordi prosedyren var rettet mot EU-medlemsstater.

Formelle åpningsbrev

Det første traktatbruddsteget var å sende et letter of formal notice, altså et formelt åpningsbrev. Landene fikk to måneder til å svare, fullføre gjennomføringen og melde tiltakene til Kommisjonen. Dersom svaret ikke var tilfredsstillende, kunne Kommisjonen senere gå videre med en grunngitt uttalelse. Kunngjøringen sa ikke at neste steg allerede var besluttet.

Omfanget

NIS2 dekker kritiske sektorer og tjenester, blant annet elektronisk kommunikasjon, IKT-tjenestestyring, digitale tjenester, avfall og vann, romvirksomhet, helse, energi, transport, produksjon av kritiske produkter, post- og budtjenester samt offentlig forvaltning. Direktivet har tekst med EØS-relevans, men sektorliste og nasjonale regler må ikke forveksles med en automatisk, ensartet anvendelse.

Hva bedrifter bør skille

Traktatbruddssaken viste at gjennomføringen var ufullstendig i mange medlemsstater. Den viste ikke at enhver virksomhet i alle land allerede var underlagt identiske krav, tilsynsmodeller eller sanksjoner. Virkeområde, nasjonal lovtekst og tidspunktet for faktisk gjennomføring måtte vurderes land for land, særlig for konsern med datterselskaper i EU.

Norsk status

På dette tidspunktet hadde Norge ikke gjennomført NIS2 i norsk lov. Norske virksomheter måtte derfor skille mellom plikter som eventuelt gjaldt et EU-datterselskap etter lokal gjennomføring, og Norges pågående arbeid med et eget digital-sikkerhetsrammeverk. EU-prosedyren var ikke en norsk lovendring og ga ikke i seg selv norsk rettslig ikrafttredelse. Norske konsern burde dokumentere status per juridisk enhet og land.

Oversikten bør også angi lokal tilsynsmyndighet, hendelsesfrist og ledelsesansvar.

Kilder

Europakommisjonen: «23 Member States called to transpose NIS2», 28. november 2024.

EUR-Lex: «Direktiv (EU) 2022/2555 – NIS2», 27. desember 2022.

Til diskusjon

Hvordan bør konsern dokumentere forskjellen mellom NIS2-krav som følger av et EU-datterselskaps nasjonale lov og krav som ennå ikke er gjennomført i Norge?