NIS 2 i kommunerne
Dette afsnit omhandler særligt kommuner
Skal kommunerne efterleve NIS 2 eller ej? Det har været et af de væsentligste spørgsmål, siden NIS 2-direktivet blev vedtaget i slutningen af 2022
NB! Dette notat opdateres løbende og kan derfor ændre form og indhold, når de endelige forhold og vejledninger er vedtaget.
NIS 2 retter sig som udgangspunkt mod visse sektorer, som vi især ønsker at beskytte, såsom vandforsyning, digital infrastruktur, sundhed, fødevareproduktion osv. Det afgørende er således en realitetsvurdering af, om en virksomhed eller en offentlig myndighed udfører de sektoraktiviteter, der skal beskyttes. Princippet er følgelig, at hvis man udfører en eller flere af de beskyttelsesværdige aktiviteter, så er man som udgangspunkt omfattet af NIS 2.
Om man er omfattet af NIS 2 eller ej, afgøres med andre ord ikke af, om man er offentlig eller privat. Det gælder der dog nogle undtagelser til. En af de mest omdiskuterede er, om den danske implementering af NIS 2 vil betyde, at kommunerne, fordi de er kommuner, skal efterleve NIS 2. I forvejen gælder det, at kommunerne skal efterleve NIS 2, hvis de udfører aktiviteter i en beskyttet sektor såsom sundhed eller forsyning.
Om kommuner som kommuner bliver omfattet, afhænger af, hvad man i Danmark stiller op med følgende passus i NIS 2-direktivets artikel 2, stk. 5, litra a:
”Medlemsstater kan fastsætte, at dette direktiv finder anvendelse på: a) offentlige forvaltningsenheder på lokalt plan”
Denne passus er kommet med i forslaget til NIS 2-lov i § 1, stk. 6: ”Vedkommende minister kan efter forhandling med ministeren for samfundssikkerhed og beredskab fastsætte regler om, at loven helt eller delvist også finder anvendelse på henholdsvis offentlige forvaltningsenheder på lokalt plan og uddannelsesinstitutioner.”
Ministeriet for samfundssikkerhed og beredskab har dog allerede meldt ud, at kommuner omfattes ”i sin helhed”. Udtalelsen må fortolkes sådan, at der lige nu er stærk politisk vilje til, at NIS 2-loven skal gælde for kommunerne som kommuner og ikke blot, fordi kommunerne er sundhedstjenesteyder eller driver forsyningsvirksomhed.
Kommunerne skal herefter forberede sig på, at NIS 2 vil påvirke byrådets arbejde, da de antagelig bliver ansvarlige for NIS 2-indsatsen. Kommunernes eksisterende informationssikkerhedsindsats skal sandsynligvis også lægges i lidt strammere tøjler. Endelig vil de kommunale IT-udbud også blive væsentligt påvirket.
Unitas følger udviklingen.
Du er nu klar til at fortsætte fra start: NIS2 – UNITAS
