NIS2 innebär skärpta krav på cybersäkerhet för många företag, kommuner och organisationer inom EU. För många verksamheter är den största utmaningen inte själva direktivet utan att förstå hur man praktiskt börjar arbeta med kraven.
Att förbereda sig för NIS2 handlar inte bara om teknik. Det handlar lika mycket om riskhantering, ledningsansvar, utbildning, dokumentation och säkerhetskultur.
Organisationer som börjar tidigt får ofta ett betydligt bättre utgångsläge än de som väntar tills tillsyn och kundkrav redan blivit akuta.
(EU – NIS2-direktivet: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
(MCF – NIS och cybersäkerhet: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/)
Vad är NIS2?
NIS2 är EU:s uppdaterade cybersäkerhetsdirektiv som ska stärka säkerheten i samhällsviktiga och digitala verksamheter.
Direktivet ställer krav på bland annat:
- riskhantering
- incidentrapportering
- säkerhetsåtgärder
- leverantörssäkerhet
- kontinuitetsplanering
- utbildning
- ledningens ansvar
- dokumentation
NIS2 omfattar betydligt fler sektorer och organisationer än det tidigare NIS-direktivet.
(ENISA – NIS2 Directive: https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/cybersecurity-policies/nis-directive-2)
Varför är det viktigt att börja förbereda sig tidigt?
Många organisationer underskattar hur omfattande arbetet kan bli.
NIS2 påverkar ofta:
- IT-miljöer
- processer
- styrning
- leverantörer
- utbildning
- dokumentation
- ledningsarbete
Att bygga upp ett systematiskt säkerhetsarbete tar tid, särskilt om verksamheten tidigare arbetat mer informellt med cybersäkerhet.
Dessutom ökar redan nu kundkrav, upphandlingar och krav från samarbetspartners kring säkerhetsarbete.
Första steget: förstå om verksamheten omfattas
Börja med att kartlägga om verksamheten omfattas direkt eller indirekt av NIS2.
Vanliga frågor:
- Är verksamheten samhällsviktig?
- Levererar ni digitala tjänster?
- Arbetar ni mot offentlig sektor?
- Är ni IT-leverantör eller driftpartner?
- Hanterar ni kritiska data eller system?
- Har kunder börjat ställa säkerhetskrav?
Även mindre verksamheter påverkas ofta indirekt genom leverantörskedjor och kundkrav.
Kartlägg verksamhetens viktigaste tillgångar
Det är svårt att skydda något man inte har identifierat.
Kartlägg exempelvis:
- kritiska system
- molntjänster
- affärskritiska processer
- känslig information
- användarkonton
- externa leverantörer
- beroenden
Många organisationer upptäcker här okända risker och sårbarheter.
Genomför en riskanalys
Riskanalysen är en central del av NIS2.
Analysera:
- sannolika hot
- konsekvenser
- sårbarheter
- beroenden
- leverantörsrisker
- möjliga incidenter
Riskanalysen bör vara praktisk och kopplad till verksamhetens verkliga risker.
Inför grundläggande säkerhetsåtgärder
Många organisationer behöver börja med grundläggande cybersäkerhet innan mer avancerade åtgärder blir aktuella.
Prioritera exempelvis:
- multifaktorautentisering
- säkerhetskopiering
- patchhantering
- åtkomstkontroll
- loggning
- antivirus och endpointskydd
- segmentering av nätverk
Enkla åtgärder kan ofta minska riskerna kraftigt.
Säkerställ fungerande backup och återställning
Backup är en av de viktigaste säkerhetsåtgärderna mot exempelvis ransomware.
Kontrollera att:
- backup sker regelbundet
- backup är skyddad
- återställning fungerar
- återläsning testas
Många verksamheter upptäcker först vid en incident att backupen inte fungerar som planerat.
Skapa tydliga incidentrutiner
Organisationen behöver veta:
- hur incidenter upptäcks
- vem som ansvarar
- hur eskalering sker
- hur rapportering fungerar
- hur verksamheten återställs
Incidenthantering bör övas regelbundet.
(Traficom Cybersäkerhetscentret – NIS2: https://www.kyberturvallisuuskeskus.fi/sv/var-verksamhet/reglering-och-tillsyn/nis2-europeiska-unionens-cybersakerhetsdirektiv)
Granska leverantörer och molntjänster
NIS2 ställer större krav på leverantörssäkerhet än tidigare.
Granska exempelvis:
- IT-leverantörer
- molntjänster
- externa konsulter
- driftpartners
- tredjepartssystem
Ställ frågor om:
- incidenthantering
- backup
- säkerhetsrutiner
- multifaktorautentisering
- datalagring
- åtkomstkontroller
Förankra cybersäkerhet hos ledningen
NIS2 gör cybersäkerhet till en ledningsfråga.
Styrelse och ledning behöver:
- förstå cyberrisker
- prioritera säkerhetsarbete
- följa upp incidenter
- säkerställa resurser
- godkänna säkerhetsåtgärder
För många organisationer är detta en av de största förändringarna jämfört med tidigare arbetssätt.
(MCF – Cybersäkerhetslagen för ledningen: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/cybersakerhetslagen-nis2/cybersakerhetslagen-for-ledningen/)
Utbilda personal och ledning
Mänskliga misstag är fortfarande en av de vanligaste orsakerna till cyberincidenter.
Utbildning bör omfatta:
- phishing
- lösenord
- social engineering
- incidentrapportering
- säker informationshantering
Relevanta utbildningar:
- Säkerhetsmedvetenhet för personal
- Phishingutbildningar och simuleringar
- IT-säkerhet för beslutsfattare
- GDPR och informationssäkerhet
- AI-säkerhet för beslutsfattare
- Introduktion till Riskmatris enligt 5x5 metoden
Dokumentera säkerhetsarbetet
NIS2 handlar inte bara om att arbeta säkert utan också om att kunna visa det.
Dokumentera exempelvis:
- säkerhetspolicyer
- riskanalyser
- incidentrutiner
- utbildningar
- ansvarsfördelning
- leverantörsgranskningar
- kontinuitetsplaner
Bra dokumentation förenklar även uppföljning och tillsyn.
Vanliga misstag vid förberedelser för NIS2
“Vi väntar tills lagen är helt klar”
Det är ett vanligt misstag. Säkerhetsarbete tar tid att bygga upp.
“Det gäller bara stora organisationer”
Många mindre verksamheter påverkas indirekt genom kundkrav och leverantörskedjor.
“Cybersäkerhet är bara teknik”
NIS2 handlar lika mycket om människor, processer och styrning.
“Vi har antivirus så vi är säkra”
Grundläggande säkerhetsprogram räcker inte ensamma för att möta NIS2-kraven.
Checklista för att förbereda sig för NIS2
- Identifiera om verksamheten omfattas
- Kartlägg kritiska system och information
- Genomför riskanalyser
- Inför multifaktorautentisering
- Säkerställ backup och återställning
- Skapa incidentrutiner
- Dokumentera säkerhetsarbetet
- Granska leverantörsrisker
- Utbilda personal och ledning
- Testa kontinuitetsplaner
- Förankra cybersäkerhet hos ledningen
- Följ utvecklingen av nationell lagstiftning
Hur hjälper utbildning och säkerhetsmedvetenhet?
Utbildning är en av de viktigaste delarna i ett långsiktigt säkerhetsarbete.
Säkerhetsmedvetenhet hjälper organisationer att:
- minska phishingrisker
- förbättra incidentrapportering
- minska mänskliga misstag
- stärka säkerhetskulturen
- förbättra efterlevnaden av NIS2
Återkommande utbildning är viktig eftersom hotbilden förändras kontinuerligt.
(OWASP: https://owasp.org/)
(IMY: https://www.imy.se/)
(ISO/IEC 27001: https://www.iso.org/isoiec-27001-information-security.html)
Sammanfattning
Att förbereda sig för NIS2 handlar om att bygga ett strukturerat och långsiktigt cybersäkerhetsarbete. För många organisationer innebär det både tekniska och organisatoriska förändringar.
De viktigaste första stegen är ofta att kartlägga risker, stärka grundläggande säkerhet, utbilda personal och förankra cybersäkerhet hos ledningen.
Organisationer som börjar arbeta proaktivt idag står betydligt bättre rustade både mot cyberhot och framtida regulatoriska krav.
Vanliga frågor om hur man förbereder sig för NIS2
Vad är första steget för att förbereda sig för NIS2?
Börja med att identifiera om verksamheten omfattas och genomför en grundläggande riskanalys.
Är multifaktorautentisering viktigt enligt NIS2?
Ja. Multifaktorautentisering är en av de viktigaste grundläggande säkerhetsåtgärderna.
Behöver ledningen involveras?
Ja. NIS2 ställer tydliga krav på ledningens ansvar och styrning av cybersäkerhetsarbetet.
Måste personal utbildas?
Ja. Säkerhetsmedvetenhet och utbildning är centrala delar av NIS2.
Är backup fortfarande viktigt?
Ja. Backup och återställning är avgörande vid exempelvis ransomware-attacker.
Behöver leverantörer granskas?
Ja. Leverantörssäkerhet och tredjepartsrisker är viktiga delar av NIS2.
Räcker det med tekniska säkerhetslösningar?
Nej. NIS2 omfattar även processer, dokumentation, utbildning och ledningsstyrning.
