What does NIS2 stand for?

The second Network and Information Security directive, Directive (EU) 2022/2555. It is the EU's framework law for cybersecurity in critical and important sectors.

Who must comply with NIS2?

Essential and important entities in 18 sectors, generally from 50 employees or EUR 10M turnover, plus certain smaller critical entities, as defined in each member state's national transposition. Suppliers to covered entities are affected indirectly through supply chain requirements.

What are the NIS2 reporting deadlines?

For significant incidents: early warning within 24 hours, incident notification within 72 hours, and a final report within one month, to the national CSIRT or authority.

What are the penalties under NIS2?

Administrative fines up to EUR 10 million or 2% of worldwide turnover for essential entities, and EUR 7 million or 1.4% for important entities, alongside management accountability measures (verify current figures against official sources).

Does email security make us NIS2 compliant?

No single tool does. Email security addresses one of the most exploited attack vectors and supports incident handling, supply chain and hygiene measures with detection, visibility and evidence, but compliance requires organizational measures, governance and documentation beyond any product.

NIS2-direktivet

NIS2 är EU:s cybersäkerhetsdirektiv som kräver att väsentliga och viktiga verksamheter i 18 sektorer hanterar cyberrisk, säkrar sina leverantörskedjor och rapporterar betydande incidenter, med personligt ansvar för ledningen.

NIS2 (Direktiv (EU) 2022/2555) är EU:s cybersäkerhetsdirektiv som kräver att "väsentliga" och "viktiga" verksamheter i 18 sektorer hanterar cyberrisk, säkrar sina leverantörskedjor och rapporterar betydande incidenter, med personligt ansvar för ledningen. NIS2 täcker generellt organisationer från 50 anställda eller 10 miljoner euro i omsättning inom sektorer som energi, transport, hälsa, digital infrastruktur och tillverkning, plus mindre enheter i kritiska roller. Incidentrapportering är deadline-driven: förvarning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad. Direktivet verkar genom nationell lagstiftning, så exakta skyldigheter definieras i varje medlemsstats införlivande. Sentaro gör ingen organisation NIS2-efterlevande, men bidrar med detektion av nätfiske och BEC, synlighet över skugg-IT och OAuth-anslutna tredjepartsappar, samt bevis och loggar som stödjer incidentrapporteringens tidsfrister och Artikel 21-åtgärderna.