NIS2-guide · 8 min
NIS2-böter och sanktioner: hur mycket, vem är ansvarig och hur du undviker dem
NIS2 ger tillsynsmyndigheterna verkliga befogenheter: omsättningsbaserade böter, bindande förelägganden och, för väsentliga aktörer, makten att tillfälligt återkalla en certifiering eller förbjuda en chef att utöva sin funktion. Den här guiden förklarar vad sanktionerna är, vem som är personligt ansvarig, hur tillsynen skiljer sig för väsentliga och viktiga aktörer, och det praktiska sättet att hålla sig ur knipa: genomför åtgärderna i artikel 21.2 och spara löpande, daterade bevis på att du gör det.
Viktigaste punkterna
- Maxböterna är omsättningsbaserade: upp till 10 M€ eller 2 % av den globala årsomsättningen för väsentliga aktörer, och 7 M€ eller 1,4 % för viktiga aktörer, beroende på vilket som är högst.
- Ledningsorganet måste godkänna och övervaka säkerhetsåtgärderna (art. 20) och kan hållas personligt ansvarigt; för väsentliga aktörer kan myndigheter tillfälligt förbjuda en chef att utöva sin funktion (art. 32.5).
- Böter är en sista utväg: den dagliga exponeringen är bindande förelägganden, revisioner och kostnaden för att bevisa aktsamhet. Löpande, styrkt leveranskedjeövervakning är den billigaste försäkringen.
Vad NIS2-sanktioner omfattar
NIS2 (direktiv (EU) 2022/2555) införlivas i nationell rätt av varje medlemsstat, så de exakta beloppen och förfarandena fastställs nationellt, men direktivet fastställer golven för de maximala administrativa böterna och verktygslådan för efterlevnad. Sanktioner är kopplade till att en aktör inte uppfyller sina skyldigheter: riskhanteringsåtgärderna i artikel 21.2, incidentrapporteringsskyldigheterna i artikel 23, registrering och samarbete med myndigheterna.
Avgörande är att NIS2 inte bara handlar om pengar. Artikel 32 (väsentliga aktörer) och artikel 33 (viktiga aktörer) ger de behöriga myndigheterna en gradvis uppsättning befogenheter, från varningar till bindande instruktioner och, för väsentliga aktörer, återkallelse och ledningsförbud. Boten är rubriken; de operativa åtgärderna är det de flesta aktörer faktiskt möter.
Maxböterna
Väsentliga aktörer
Upp till 10 000 000 € eller 2 % av den totala globala årsomsättningen (föregående räkenskapsår), beroende på vilket som är högst.
Större aktörer i högkritiska sektorer: energi, transport, bank, finansmarknadsinfrastruktur, hälsa, dricks- och avloppsvatten, digital infrastruktur, IKT-tjänsthantering, offentlig förvaltning, rymden.
Viktiga aktörer
Upp till 7 000 000 € eller 1,4 % av den totala globala årsomsättningen (föregående räkenskapsår), beroende på vilket som är högst.
Övriga medelstora och stora aktörer i de omfattade sektorerna, inklusive post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning.
Detta är maxtak som fastställs i direktivet (art. 34). De faktiska böterna beslutas nationellt och ska vara effektiva, proportionerliga och avskräckande, med hänsyn till allvar, varaktighet och ditt samarbete. Bekräfta de exakta reglerna i ditt lands införlivande med kvalificerad rådgivning.
Personligt ansvar och ledningens ansvar
NIS2 lägger medvetet cybersäkerheten på styrelsens bord. Enligt artikel 20 måste ledningsorganet godkänna åtgärderna för hantering av cyberrisker, övervaka deras genomförande och kan hållas ansvarigt för brister. Ledamöter i ledningsorgan måste också genomgå utbildning och förväntas erbjuda liknande utbildning till sin personal.
För väsentliga aktörer går artikel 32.5 längre: när annan efterlevnad har misslyckats kan de behöriga myndigheterna tillfälligt återkalla en certifiering eller ett tillstånd och tillfälligt förbjuda en person på vd- eller juridisk företrädarnivå att utöva ledningsfunktioner. Denna personliga exponering är skälet till att NIS2-styrningen nu når högst upp i organisationen.
Se hur dina leverantörer faktiskt presterar
7 dagars gratis · inget kreditkort · avsluta när som helst
Verktygslådan för efterlevnad (utöver böter)
Före eller jämte ett bötesbelopp kan myndigheterna tillämpa en rad bindande åtgärder (art. 32 och 33). I praktiken är det detta du mest sannolikt möter:
- Varningar och bindande instruktioner att åtgärda specifika brister inom en tidsfrist.
- Förelägganden att följa reglerna, att informera berörda kunder om ett betydande hot eller att genomföra revisionsrekommendationer.
- Obligatoriska säkerhetsrevisioner och inspektioner på plats, på din egen bekostnad.
- Utseende av en övervakningsansvarig som granskar din efterlevnad under en bestämd period.
- Offentliggörande av överträdelsen och förelägganden att göra delar av incidenten offentliga.
- Endast för väsentliga aktörer: tillfällig återkallelse av certifiering eller tillstånd och ett tillfälligt ledningsförbud (art. 32.5).
Tillsynen skiljer sig per kategori
Väsentliga aktörer omfattas av proaktiv (ex ante) och reaktiv (ex post) tillsyn enligt artikel 32: regelbundna och riktade revisioner, inspektioner på plats, säkerhetsskanningar och begäranden om information kan ske oavsett om något problem misstänks.
Viktiga aktörer övervakas endast ex post enligt artikel 33: myndigheterna agerar när det finns bevis eller en indikation på bristande efterlevnad, vanligtvis efter en incident eller ett klagomål. Oavsett vilket ligger bevisbördan på dig att visa att lämpliga åtgärder fanns på plats, vilket är mycket enklare med löpande register än en ögonblicksbild en gång om året.
Källor: Direktiv (EU) 2022/2555 (NIS2), artiklarna 20, 32, 33 och 34 Maxbeloppen för böter fastställs i direktivet; de nationella införlivandena fastställer de exakta reglerna och förfarandena. Den här guiden är allmän information, inte juridisk rådgivning.
Hur norppa.io minskar din exponering
De flesta sanktioner kan spåras till två brister: otillräckliga åtgärder enligt artikel 21.2 (särskilt leveranskedjesäkerhet) och oförmåga att bevisa aktsamhet på begäran. norppa.io hanterar båda genom att löpande övervaka varje leverantörsdomän och koppla varje fynd till den NIS2-artikel det rör.
Eftersom varje övervakningscykel loggas har du ett löpande, daterat verifieringsunderlag, precis det bevis som tillsynen enligt artiklarna 32 och 33 efterfrågar, i stället för en ögonblicksbild. Det förvandlar ”vi hade för avsikt” till ”här är registret”, och är den billigaste försäkringen mot böterna och föreläggandena ovan.