Artikel 26 bestemmer, hvilket land der fører tilsyn med en given enhed under NIS2.
Udgangspunktet er simpelt: enheder hører under det land, hvor de er etableret. Der er tre undtagelser. Udbydere af offentlige elektroniske kommunikationsnet hører under det land, hvor de leverer tjenester. Visse digitale tjenesteudbydere som cloud, DNS, CDN og onlinemarkedspladser hører under det land, hvor de har deres hovedforretningssted i EU. Offentlige myndigheder hører under det land, der har oprettet dem.
Hovedforretningsstedet er der, hvor cybersikkerhedsbeslutningerne primært træffes. Kan det ikke fastslås, bruges det land, hvor cybersikkerhedsoperationerne udføres. Kan det heller ikke fastslås, bruges det land, hvor flest ansatte arbejder.
Er en virksomhed etableret uden for EU, men leverer tjenester i EU, skal den udpege en EU-repræsentant. Repræsentanten skal befinde sig i et land, hvor tjenesterne tilbydes. En EU-repræsentant fritager ikke virksomheden selv for juridisk ansvar.
Eksempler
En amerikansk cloudvirksomhed leverer tjenester i Danmark, Sverige og Tyskland. Virksomheden opretter et EU-repræsentantkontor i Danmark. Det danske tilsyn fører herefter primær kontrol med virksomheden.
En irsk DNS-udbyder træffer alle cybersikkerhedsbeslutninger fra sit kontor i Dublin. Irland er dermed det primære tilsynsland, selvom virksomheden leverer tjenester i hele EU.
Relevante præambler:
Ofte stillede spørgsmål
Hvilket lands myndigheder har tilsyn med min virksomhed?
Det primære tilsynsland er det land, hvor virksomheden er etableret. For digitale tjenesteudbydere som cloud og DNS er det det land, hvor cybersikkerhedsbeslutningerne primært træffes. Det kalder direktivet for hovedforretningsstedet.
Hvad er 'hovedforretningssted' i EU, og hvordan fastlægges det?
Hovedforretningsstedet er det land, hvor cybersikkerhedsbeslutningerne primært træffes. Kan det ikke fastslås, bruges det land, hvor cybersikkerhedsoperationerne udføres. Kan det heller ikke fastslås, bruges det land, hvor flest ansatte i EU arbejder.
Hvad gælder, hvis min virksomhed leverer tjenester i EU, men er etableret uden for EU?
Virksomheden skal udpege en EU-repræsentant. Repræsentanten skal befinde sig i et land, hvor virksomhedens tjenester tilbydes. Det land, hvor repræsentanten er etableret, fører primært tilsyn. Uden en repræsentant kan alle EU-lande, der modtager tjenesterne, tage retlige skridt.
Hvad sker der, hvis min virksomhed leverer tjenester i flere EU-lande og er underlagt tilsyn af flere myndigheder?
Artikel 26 fastlægger ét primært tilsynsland for at undgå dobbelt tilsyn. For cloud- og DNS-udbydere er det landet med hovedforretningsstedet. Myndighederne samarbejder, og artikel 37 beskriver reglerne for gensidig bistand.
Den originale tekst fra direktivet
Stk. 1.
Enheder, der er omfattet af dette direktivs anvendelsesområde, anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de er etableret, med undtagelse af:
- udbydere af offentlige elektroniske kommunikationsnet eller af offentligt tilgængelige elektroniske kommunikationstjenester, som anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de leverer deres tjenester
- DNS-tjenesteudbydere, topdomænenavneadministratorer, enheder, der leverer domænenavnsregistreringstjenester, og udbydere af cloudcomputingtjenester, af datacentertjenester, af indholdsleveringsnetværk, af administrerede tjenester, af administrerede sikkerhedstjenester, af onlinemarkedspladser, af onlinesøgemaskiner eller af platforme for sociale netværkstjenester, som anses for at henhøre under jurisdiktionen i den medlemsstat, hvor de har deres hovedforretningssted i Unionen i henhold til stk. 2
- offentlige forvaltningsenheder, som anses for at henhøre under jurisdiktionen i den medlemsstat, der har oprettet dem.
Stk. 2.
Med henblik på dette direktiv anses en enhed som omhandlet i stk. 1, litra b), for at have sit hovedforretningssted i Unionen i den medlemsstat, hvor beslutningerne vedrørende foranstaltningerne til styring af cybersikkerhedsrisici overvejende træffes. Hvis en sådan medlemsstat ikke kan fastslås, eller hvis sådanne beslutninger ikke træffes i Unionen, anses hovedforretningsstedet for at være i den medlemsstat, hvor der udføres cybersikkerhedsoperationer. Hvis en sådan medlemsstat ikke kan fastslås, anses hovedforretningsstedet for at være i den medlemsstat, hvor den pågældende enheds forretningssted med det største antal ansatte i Unionen er beliggende.
Stk. 3.
Hvis en enhed som omhandlet i stk. 1, litra b), ikke er etableret i Unionen, men udbyder tjenester inden for Unionen, skal den udpege en repræsentant i Unionen. Repræsentanten skal være etableret i en af de medlemsstater, hvor tjenesterne tilbydes. En sådan enhed anses for at høre under den medlemsstats jurisdiktion, hvor repræsentanten er etableret. Hvis der ikke findes en repræsentant i Unionen, der er udpeget i henhold til dette stykke, kan enhver medlemsstat, hvor enheden leverer tjenester, tage retlige skridt mod enheden for overtrædelse af dette direktiv.
Stk. 4.
Det forhold, at en enhed som omhandlet i stk. 1, litra b), har udpeget en repræsentant, forhindrer ikke, at der kan tages retlige skridt mod enheden selv.
Stk. 5.
Medlemsstater, der har modtaget en anmodning om gensidig bistand vedrørende en enhed som omhandlet i stk. 1, litra b), kan inden for rammerne af denne anmodning træffe passende tilsyns- og håndhævelsesforanstaltninger over for den pågældende enhed, der leverer tjenester eller har et net- og informationssystem på deres område.