Artikel 4 slår fast, at hvis en virksomhed er underlagt en mere sektor-specifik lov, går den forud for NIS2 (lex specialis). Hvis en virksomhed er underlagt en sektorspecifik EU-retsakt med krav mindst svarende til NIS2, gælder derfor NIS2 ikke på de dækkede punkter.
Artikel 4 har mest fokus på styring af cybersikkerhedsrisici og underretning om hændelser. DORA (den finansielle sektor) og CER (kritisk infrastruktur) er eksempler på den type lovgivning.
Kommissionen har udarbejdet retningslinjer (2023/C 328/02), som præciserer, hvornår sektor-specifik lovgivning går forud for NIS2.
Eksempler
En bank er underlagt DORA, som stiller strenge krav til it-risikostyring og hændelsesrapportering. DORA-kravene svarer til NIS2-kravene. Banken følger DORA og er ikke separat forpligtet af NIS2 på de dækkede punkter.
Et elselskab er underlagt energimarkedsregler, men reglerne dækker ikke alle enheder i sektoren. De enheder, der ikke er dækket af sektorreglerne, skal følge NIS2 fuldt ud.
Relevante præambler:
Ofte stillede spørgsmål
Hvad er lex specialis-princippet i NIS2-sammenhæng?
Lex specialis betyder, at en mere specifik regel går forud for en generel regel. DORA for finanssektoren eller CER-direktivet for kritisk infrastruktur kan gå forud for NIS2, når sektorreglerne er mindst lige så strenge.
Vi er underlagt DORA – skal vi også overholde NIS2?
Er DORA-kravene mindst lige så strenge som NIS2, er banken undtaget fra NIS2 på de punkter DORA dækker. Tjek dog altid den nationale implementeringslov, da visse NIS2-krav kan gælde parallelt.
Er der andre sektorspecifikke retsakter, der udløser artikel 4?
Ja. Udover DORA kan CER-direktivet, eIDAS2 og visse energiregler potentielt gå forud for NIS2. Tjek altid om din sektor har specifikke regler med krav svarende til eller højere end NIS2.
Hvad sker der, hvis den sektorspecifikke retsakt kun delvist dækker NIS2-kravene?
NIS2 udfylder hullerne. Virksomheden følger sektorreglerne på de dækkede punkter og NIS2 på de punkter sektorreglerne ikke dækker.
Den originale tekst fra direktivet
Stk. 1.
I tilfælde, hvor sektorspecifikke EU-retsakter kræver, at væsentlige eller vigtige enheder træffer foranstaltninger til styring af cybersikkerhedsrisici eller underretter om væsentlige hændelser, og hvor disse krav har en virkning, der mindst svarer til de forpligtelser, der er fastsat i dette direktiv, finder de relevante bestemmelser i dette direktiv, herunder bestemmelserne om tilsyn og håndhævelse, der er fastsat i kapitel VII, ikke finde anvendelse på sådanne enheder. I tilfælde, hvor sektorspecifikke EU-retsakter ikke omfatter alle enheder i en specifik sektor, der er omfattet af dette direktivs anvendelsesområde, finder de relevante bestemmelser i dette direktiv fortsat anvendelse på de enheder, der ikke er omfattet af de nævnte sektorspecifikke EU-retsakter.
Stk. 2.
De i denne artikels stk. 1 omhandlede krav anses for at have samme virkning som de forpligtelser, der er fastsat i dette direktiv, hvor:
- foranstaltningerne til styring af cybersikkerhedsrisici har mindst samme virkning som dem, der er fastsat i artikel 21, stk. 1 og 2, eller
- den sektorspecifikke EU-retsakt giver CSIRT’erne, de kompetente myndigheder eller de centrale kontaktpunkter i henhold til dette direktiv øjeblikkelig, hvor relevant automatisk og direkte, adgang til underretninger om hændelser, og hvor kravene om at give underretning om væsentlige hændelser mindst har samme virkning som kravene fastsat i dette direktivs artikel 23, stk. 1-6.
Stk. 3.
Kommissionen fastlægger senest den 17. juli 2023 retningslinjer, der præciserer anvendelsen af stk. 1 og 2. Kommissionen reviderer regelmæssigt disse retningslinjer. Ved udarbejdelsen af disse retningslinjer tager Kommissionen hensyn til eventuelle bemærkninger fra samarbejdsgruppen og ENISA.