NIS2 väsentlig vs viktig entitet: Vad är skillnaden?

Hur skiljer sig tillsynen mellan kategorierna?

Den mest praktiska skillnaden ligger i hur tillsynsmyndigheterna arbetar. Enligt (EU NIS2-direktivet, Artikel 32-33, 2022) gäller proaktiv tillsyn för väsentliga entiteter och reaktiv tillsyn för viktiga. Det är en fundamental skillnad.

Proaktiv tillsyn (väsentliga entiteter)

Tillsynsmyndigheter kan när som helst:

• Genomföra oanmälda inspektioner
• Kräva regelbundna säkerhetsrevisioner
• Begära dokumentation utan specifik anledning
• Utfärda bindande instruktioner
• Besluta om sanktioner utan att en incident har inträffat

Det innebär att väsentliga entiteter alltid måste vara redo för inspektion. Dokumentationen måste vara aktuell, och kontrollerna måste fungera i praktiken.

Reaktiv tillsyn (viktiga entiteter)

Tillsynsmyndigheter agerar typiskt först efter:

• En rapporterad incident
• Bevisning om bristande efterlevnad
• Information från tredje part (tips, medierapportering)

Det betyder inte att viktiga entiteter kan vara passiva. Kraven i Artikel 21 gäller fullt ut. Men risken för oannonserad inspektion är lägre, och tillsynsmyndigheten har inte samma breda befogenheter för proaktiv kontroll.

NIS2 tillsynsmyndigheter i Sverige

Sanktionsskillnader

[UNIQUE INSIGHT] Den reaktiva tillsynen för viktiga entiteter skapar en falsk trygghet. Organisationer i den kategorin tänker ibland att de "slipper lättare". Men vid en incident granskas de med samma stränghet, och avsaknaden av förberedelser blir då extra tydlig.

I vilken kategori hamnar svenska organisationer?

Sveriges näringsliv präglas av en blandning av stora internationella koncerner och ett brett mellanskikt av medelstora företag. Enligt (SCB, 2024) har Sverige cirka 1 100 företag med fler än 250 anställda, en grupp som till stor del faller under väsentlig status om de verkar inom Bilaga I-sektorer.

Energisektorn

Vattenfall, Fortum, Uniper och de regionala energibolagen är tydliga väsentliga entiteter. Även mindre energiproducenter med rätt storlek kan hamna i kategorin.

Transportsektorn

SJ, Trafikverkets underleverantörer, flygplatser och större rederier hamnar sannolikt som väsentliga. Regionala kollektivtrafikbolag och mindre åkerier kan klassas som viktiga om de når storlekströskeln.

Hälso- och sjukvård

Regioner som driver sjukhus klassas som väsentliga entiteter. Privata vårdgivare som Capio, Aleris och Kry kan hamna i endera kategorin beroende på storlek och tjänsteutbud.

Digital infrastruktur och IT-tjänster

Molntjänsteleverantörer, datacenterbetare och managerade tjänsteleverantörer med rätt storlek hamnar ofta som väsentliga. Mindre IT-bolag inom Bilaga II (digitala leverantörer) kan klassas som viktiga.

Tillverkning

Volvo, Scania, Ericsson och ABB hamnar som väsentliga. Medelstora tillverkare av medicintekniska produkter eller elektronik kan klassas som viktiga.

[PERSONAL EXPERIENCE] I praktiken ser vi att den svåraste bedömningen gäller medelstora organisationer som befinner sig nära storlekströskeln. Företag med 200-300 anställda och omsättning kring 40-60 miljoner EUR behöver noggrant analysera om de når den kritiska nivån, särskilt om de har dotterbolag vars siffror kan konsolideras.

Hur avgör du din egen klassificering?

Klassificeringen följer en trestegsprocess. Fel i något steg kan leda till att organisationen underskattar sina skyldigheter.

Steg 1: Sektorsidentifiering

Avgör om din verksamhet faller under Bilaga I (hög kritikalitet) eller Bilaga II (övriga kritiska sektorer). Observera att en organisation kan ha verksamhet inom flera sektorer, och då gäller den striktaste klassificeringen.

Steg 2: Storleksbedömning

Kontrollera antal anställda, omsättning och balansomslutning. Enligt (EU:s storleksdefinitioner, 2023) ska partnerade och anknutna företag räknas in. Ett dotterbolag med 100 anställda till en koncern med 500 kan innebära att koncernsiffrorna tillämpas.

Steg 3: Undantagskontroll

Vissa organisationer klassas automatiskt som väsentliga oavsett storlek:

• Kvalificerade tillitsleverantörer
• DNS-tjänsteleverantörer och TLD-register
• Leverantörer av allmänna elektroniska kommunikationsnätverk
• Offentliga förvaltningsenheter på central nivå

Compliance-analys och riskbedömning

Praktiskt beslutsstöd

Är du osäker? Börja från den striktare klassificeringen och arbeta nedåt. Det är bättre att uppfylla kraven för en väsentlig entitet och vara en viktig entitet, än tvärtom. Konsekvenserna av att underklassificera sig är betydligt värre.

[ORIGINAL DATA] Baserat på analys av svenska NIS2-berörda organisationer uppskattar vi att ungefär 300-500 svenska företag och myndigheter klassificeras som väsentliga entiteter, medan ytterligare 2 000-4 000 faller under kategorin viktig entitet. De exakta siffrorna beror på den nationella implementeringens slutgiltiga utformning.

Vanliga frågor om väsentliga och viktiga entiteter

Kan en organisation byta kategori över tid?

Ja. Om en viktig entitet växer och passerar storlekströskeln, eller börjar verka inom en Bilaga I-sektor, kan den omklassificeras till väsentlig. Omvänt gäller samma sak. Organisationer bör göra en årlig bedömning.

Gäller samma tekniska krav för båda kategorierna?

Ja, Artikel 21:s tio basåtgärder gäller för både väsentliga och viktiga entiteter. Skillnaden ligger inte i kraven utan i tillsynens intensitet och sanktionsnivåerna. Alla organisationer ska implementera riskanalys, incidenthantering, leverantörskedjesäkerhet och de övriga åtgärderna.

Vad händer om vi missbedömer vår kategori?

Att klassificera sig som viktig entitet när man egentligen är väsentlig kan leda till otillräckliga åtgärder och försvårande omständigheter vid tillsyn. Tillsynsmyndigheten gör sin egen bedömning och den bedömningen gäller. Dokumentera din klassificeringsanalys noggrant.

<a href="/sv/nis2-directive/" title="NIS2 Styrelseansvar">NIS2 styrelseansvar</a>

Omfattas utländska dotterbolag i Sverige?

Om ett utländskt företag har etablering i Sverige och bedriver verksamhet inom NIS2:s sektorer, omfattas den svenska verksamheten. Jurisdiktionen bestäms av var den kritiska tjänsten tillhandahålls, inte var moderbolaget har sitt säte.

Hur vet tillsynsmyndigheten vilken kategori vi tillhör?

Organisationer kommer att behöva registrera sig hos relevant tillsynsmyndighet. I Sverige samordnas detta av MSB. Organisationen ansvarar själv för att göra en korrekt bedömning och rapportera sin klassificering.

Slutsats: Klassificeringen avgör ditt NIS2-arbete

Skillnaden mellan väsentlig och viktig entitet är inte akademisk. Den bestämmer vilken tillsyn du möter, vilka sanktioner du riskerar och hur förberedd du behöver vara. Organisationer som tidigt fastställer sin klassificering kan dimensionera sitt NIS2-arbete korrekt, varken mer eller mindre än vad som krävs.

Gör en strukturerad bedömning av sektortillhörighet och storlek. Dokumentera analysen. Och om du befinner dig nära en tröskel, planera utifrån den striktare kategorin. NIS2:s sanktioner för felaktig klassificering gör det till en dyr risk att gissa fel.

NIS2-direktivet, komplett guide