NIS2 könnun Fjarskiptastofu

Markmið könnunarinnar er að veita aðilum leiðbeinandi og aðgengilega yfirsýn yfir það hvort starfsemi þeirra kunni að falla undir gildissvið NIS2-tilskipunar Evrópuþingsins og ráðsins (ESB) 2022/2555 um ráðstafanir til að ná háu sameiginlegu stigi netöryggis (NIS2-tilskipunin).

Könnunin er ætluð aðilum sem vilja fá fyrstu vísbendingu um hvort starfsemi þeirra geti fallið undir tilskipunina. Könnunin veitir ekki upplýsingar um þær kröfur sem kunna að gilda um aðila sem falla undir gildissvið hennar.

Mikilvægir fyrirvarar

Vinsamlegast hafið eftirfarandi í huga áður en könnunin er tekin:

Könnunin byggir á NIS2-tilskipuninni sjálfri

Könnunin byggir á ákvæðum NIS2-tilskipunarinnar (ESB) eins og hún liggur fyrir á vettvangi ESB, en ekki á íslenskri innleiðingu hennar. Við innleiðingu tilskipunarinnar í íslensk lög kunna að verða breytingar, skýringar eða útfærslur sem geta haft áhrif á gildissvið hennar.

Mat byggir á upplýsingum frá viðkomandi aðila

Viðkomandi aðilar þekkja eigin starfsemi best. Niðurstaða könnunarinnar byggir því alfarið á þeim upplýsingum sem aðili leggur til grundvallar við svörun. Könnunin er ætluð sem stuðningur við eigið mat og innra mat á starfsemi.

Takmarkanir varðandi skilgreiningar

Við gerð könnunarinnar hefur verið leitast við að styðjast við skilgreiningar á tegundum aðila eins og þær hafa verið innleiddar í íslensk lög, þegar það á við. Að öðrum kosti er byggt á skilgreiningum samkvæmt frumgerðum ESB eða öðrum opinberum gögnum Sambandsins.

Leiðbeinandi niðurstaða

Niðurstöður könnunarinnar eru ekki endanlegar né bindandi. Þær gefa einungis til kynna hvort líklegt eða ólíklegt sé að starfsemi falli undir gildissvið NIS2-tilskipunarinnar.

Opinberir aðilar á sveitastjórnarstigi og menntastofnanir

Hvað varðar opinbera aðila á sveitarstjórnarstigi varðar (e. local level) gerir NIS2 tilskipunin ráð fyrir því að aðildarríki geti, við innleiðingu tilskipunarinnar, kveðið á um að tilskipunin gildi um þá. Sama á við varðandi menntastofnanir, sér í lagi þegar þær sinna þýðingarmikilli rannsóknarstarfsemi.

Í könnuninni er ekki gerður greinarmunur á:

• nauðsynlegum aðilum (e. Essential Entities), sem veita þjónustu samkvæmt viðauka I tilskipunarinnar, og
• þýðingarmiklum aðilum (e. Important Entities), sem veita þjónustu samkvæmt viðauka II tilskipunarinnar.

Athugið að niðurstöður könnunarinnar eru hvorki vistaðar né rekjanlegar.

NIS2-tilskipunin er heildstæð endurskoðun á fyrri tilskipun Evrópusambandsins, NIS1-tilskipuninni, og er ætlað að efla netöryggi á hinum innri markaði með því að tryggja hærra og samræmdara öryggisstig innan Evrópusambandsins. Í kjölfar endurskoðunar á NIS1 var sett ný netöryggistilskipun Evrópuþingsins og ráðsins (ESB) 2022/2555 um ráðstafanir til að ná háu sameiginlegu stigi á sviði netöryggis í öllu Sambandinu (NIS2).

Fyrir liggur að innleiða þarf NIS2-tilskipunina hér á landi, þótt hún hafi ekki enn verið tekin upp í EES-samninginn. Meirihluti aðildarríkja Evrópusambandsins hefur þegar innleitt gerðina í landsrétt, þar á meðal Finnland, Danmörk og Svíþjóð.

Næstu skref

Niðurstaða könnunarinnar er ekki bindandi. Óháð því hvort niðurstaðan bendir til þess að aðili kunni að falla undir gildissvið NIS2-tilskipunarinnar eða ekki, er mikilvægt að aðilar:

• fylgist áfram með innleiðingu tilskipunarinnar í íslensk lög og
• kynni sér nánar þær kröfur sem kunna að eiga við um starfsemi þeirra.