Artikel 3 deler alle omfattede virksomheder i to kategorier: væsentlige enheder og vigtige enheder. Kategorien bestemmer, hvor strengt myndighederne fører tilsyn, og hvor store bøder der kan gives.
En virksomhed er væsentlig, hvis den er stor og opererer i en sektor fra bilag I. Det samme gælder kvalificerede tillidstjenesteudbydere og DNS-udbydere uanset størrelse. Offentlige forvaltningsenheder er altid væsentlige.
En virksomhed er vigtig, hvis den er mellemstor og opererer i bilag I, eller hvis den opererer i en bilag II-sektor. Myndighederne kan også udpege ekstra enheder som væsentlige eller vigtige.
Senest den 17. april 2025 skal hvert land udarbejde en liste over alle enheder. Listen opdateres mindst hvert andet år. Virksomhederne skal selv indberette navn, adresse, sektor og hvilke lande de leverer tjenester i. Ændringer skal meddeles senest to uger efter.
Myndighederne sender derefter statistik til Kommissionen om antallet af enheder i hver sektor.
Eksempler
Et stort energiselskab med over 250 ansatte leverer el til forbrugere i Danmark. Det er en væsentlig enhed, fordi energi er en bilag I-sektor og selskabet overskrider størrelsesgrænserne. Tilsynsmyndighederne fører løbende tilsyn med selskabet.
En mellemstor it-leverandør med 80 ansatte leverer cloud-tjenester. Cloud er en bilag II-sektor. Selskabet er en vigtig enhed og tilses primært reaktivt, altså hvis der opstår en konkret sag.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er forskellen på en 'væsentlig enhed' og en 'vigtig enhed'?
Væsentlige enheder er store virksomheder i bilag I-sektorer samt DNS-udbydere og tillidstjenesteudbydere uanset størrelse. Vigtige enheder er mellemstore virksomheder i bilag I-sektorer og alle størrelser i bilag II-sektorer. Væsentlige enheder får løbende tilsyn. Vigtige enheder tilses primært reaktivt.
Hvordan ved jeg, om min virksomhed er en 'væsentlig' eller 'vigtig' enhed?
Kan myndighederne ændre min kategorisering?
Ja. Myndighederne kan udpege ekstra enheder som væsentlige, fx fordi de er den eneste udbyder af en kritisk tjeneste. Enheder der er kritiske efter CER-direktivet, klassificeres automatisk som væsentlige under NIS2.
Har kategoriseringen som 'væsentlig' eller 'vigtig' enhed konsekvenser for bøderne?
Ja. Væsentlige enheder kan få bøder op til 10 mio. EUR eller 2 % af den globale omsætning. Vigtige enheder kan få bøder op til 7 mio. EUR eller 1,4 % af omsætningen. Det højeste beløb gælder altid.
Den originale tekst fra direktivet
Stk. 1.
Med henblik på dette direktiv anses følgende enheder for at være væsentlige enheder:
- enheder af en type, som er omhandlet i bilag I og som overskrider tærsklerne for mellemstore virksomheder, der er fastsat i artikel 2, stk. 1, i bilaget til henstilling 2003/361/EF
- kvalificerede tillidstjenesteudbydere og topdomænenavneadministratorer samt DNS-tjenesteudbydere, uanset deres størrelse
- udbydere af offentlige elektroniske kommunikationsnet eller af offentligt tilgængelige elektroniske kommunikationstjenester, der udgør mellemstore virksomheder i henhold til artikel 2, i bilaget til henstilling 2003/361/EF
- offentlige forvaltningsenheder omhandlet i artikel 2, stk. 2, litra f), nr. i)
- alle andre enheder af en type omhandlet i bilag I eller bilag II, som en medlemsstat har identificeret som væsentlige enheder i medfør af artikel 2, stk. 2, litra b)-e)
- enheder, der er identificeret som kritiske enheder i henhold til direktiv (EU) 2022/2557, jf. artikel 2, stk. 3, i nærværende direktiv
- hvis medlemsstaten træffer afgørelse herom, enheder, som den pågældende medlemsstat inden den 16. januar 2023 har identificeret som operatører af væsentlige tjenester i overensstemmelse med direktiv (EU) 2016/1148 eller national ret.
Stk. 2.
Med henblik på dette direktiv anses enheder af en type omhandlet i bilag I eller bilag II, der ikke opfylder kriterierne for at være væsentlige enheder i henhold til denne artikels stk. 1, for at være vigtige enheder. Dette indbefatter enheder, som medlemsstaterne har identificeret som vigtige enheder i medfør af artikel 2, stk. 2, litra b)-e).
Stk. 3.
Senest den 17. april 2025 udarbejder medlemsstaterne en liste over væsentlige og vigtige enheder samt enheder, der leverer domænenavnsregistreringstjenester. Medlemsstaterne reviderer og, hvor det er relevant, ajourfører derefter listen med jævne mellemrum, mindst hvert andet år.
Stk. 4.
Med henblik på udarbejdelsen af den i stk. 3 omhandlede liste pålægger medlemsstaterne de enheder, der er omhandlet i nævnte stykke, at indgive mindst følgende oplysninger til de kompetente myndigheder:
- enhedens navn
- adresse og ajourførte kontaktoplysninger, herunder e-mailadresser, IP-intervaller og telefonnumre
- i givet fald den relevante sektor og delsektor i bilag I eller bilag II, samt
- i givet fald en liste over de medlemsstater, hvor enheden leverer tjenester, der er omfattet af dette direktivs anvendelsesområde.
De i stk. 3 omhandlede enheder skal i tilfælde af ændringer af de oplysninger, de har indgivet i henhold til nærværende stykkes første afsnit, straks give underretning herom og under alle omstændigheder senest to uger efter datoen for ændringen.
Kommissionen fastlægger med bistand fra Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) uden unødigt ophold retningslinjer og skabeloner vedrørende de forpligtelser, der er fastsat i dette stykke.
Medlemsstaterne kan indføre nationale mekanismer, hvorigennem enheder kan registrere sig selv.
Stk. 5.
Senest den 17. april 2025 og derefter hvert andet år underretter de kompetente myndigheder:
- Kommissionen og samarbejdsgruppen om antallet af væsentlige og vigtige enheder, der er opført på den i stk. 3 omhandlede liste for hver af de sektorer og delsektorer, der er omhandlet i bilag I eller bilag II, samt
- Kommissionen om relevante oplysninger med hensyn til antallet af væsentlige og vigtige enheder, der er identificeret i medfør af artikel 2, stk. 2, litra b)-e), hvilke af sektorerne og delsektorerne i bilag I eller bilag II, som de tilhører, hvilken type tjeneste de leverer, og hvilken af bestemmelserne i artikel 2, stk. 2, litra b)-e), i medfør af hvilken de blev identificeret.
Stk. 6.
Indtil til den 17. april 2025 og efter anmodning fra Kommissionen kan medlemsstaterne underrette Kommissionen om navnene på de væsentlige og vigtige enheder, der er omhandlet i stk. 5, litra b).