NIS2 innebär betydligt skärpta krav på cybersäkerhet jämfört med det tidigare NIS-direktivet. En av de största förändringarna är att både organisationer och ledning kan hållas ansvariga om säkerhetsarbetet brister.
Direktivet innebär också att tillsynsmyndigheter får större befogenheter att granska verksamheter, kräva åtgärder och utfärda sanktioner.
För företag, kommuner och offentlig sektor handlar NIS2 därför inte bara om tekniska säkerhetsåtgärder utan även om styrning, dokumentation och ledningsansvar.
(EU – NIS2-direktivet: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
(MCF – NIS och cybersäkerhet: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/)
Vad innebär ansvar enligt NIS2?
NIS2 kräver att organisationer arbetar systematiskt med cybersäkerhet och riskhantering.
Det omfattar bland annat:
- riskanalyser
- säkerhetsåtgärder
- incidentrapportering
- kontinuitetsplanering
- leverantörssäkerhet
- utbildning
- dokumentation
- ledningsstyrning
En viktig förändring är att styrelse och ledning får ett tydligare ansvar än tidigare.
Ledningen förväntas:
- förstå cyberrisker
- godkänna säkerhetsåtgärder
- följa upp säkerhetsarbetet
- prioritera resurser
- säkerställa utbildning och kompetens
Cybersäkerhet blir därmed en verksamhets- och ledningsfråga, inte bara en teknisk fråga för IT-avdelningen.
(MCF – Cybersäkerhetslagen för ledningen: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/cybersakerhetslagen-nis2/cybersakerhetslagen-for-ledningen/)
Vilka sanktioner kan bli aktuella?
NIS2 ger nationella tillsynsmyndigheter möjlighet att använda flera olika typer av åtgärder.
Exempel på sanktioner:
- administrativa böter
- förelägganden
- krav på åtgärdsplaner
- tillsynsrevisioner
- säkerhetsgranskningar
- krav på rapportering
- tillfälliga begränsningar av verksamhet
- personligt ansvar för ledning i vissa fall
Storleken på sanktioner kan variera beroende på:
- verksamhetens storlek
- typ av brist
- risknivå
- konsekvenser av incidenter
- graden av oaktsamhet
Hur höga kan böterna bli?
NIS2 innehåller höga maximala sanktionsnivåer inom EU.
För särskilt viktiga verksamheter kan sanktioner uppgå till:
- minst 10 miljoner euro
eller
- upp till 2 procent av global årsomsättning
För andra viktiga verksamheter gäller lägre men fortfarande betydande nivåer.
Det är dock viktigt att förstå att nationell lagstiftning och tillsyn kan skilja sig mellan olika länder.
Sverige
I Sverige implementeras NIS2 genom nationell cybersäkerhetslagstiftning och flera olika tillsynsmyndigheter kan bli ansvariga beroende på sektor.
Sverige väntas ha relativt omfattande tillsyns- och sanktionsmöjligheter med fokus på:
- riskhantering
- incidentrapportering
- ledningsansvar
- leverantörssäkerhet
- dokumentation
Svenska myndigheter har samtidigt betonat att verksamheter förväntas arbeta proaktivt och systematiskt snarare än att endast reagera vid incidenter.
(MCF – Cybersäkerhet och NIS: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/)
Finland
Finland har länge arbetat aktivt med cybersäkerhet och NIS2 integreras i ett redan relativt utvecklat säkerhetsarbete.
Traficom och Cybersäkerhetscentret har en central roll inom vägledning och tillsyn.
Finland har stort fokus på:
- kontinuitetsplanering
- incidentrapportering
- samhällskritiska funktioner
- samarbete mellan myndigheter och näringsliv
- praktisk cybersäkerhet
Finska myndigheter arbetar ofta nära verksamheter med vägledning och stöd kring säkerhetskrav.
(Traficom Cybersäkerhetscentret – NIS2: https://www.kyberturvallisuuskeskus.fi/sv/var-verksamhet/reglering-och-tillsyn/nis2-europeiska-unionens-cybersakerhetsdirektiv)
Åland
Åland påverkas både av EU:s NIS2-direktiv och av nationell finsk lagstiftning, men självstyrelsen gör att vissa administrativa och praktiska frågor kan hanteras annorlunda jämfört med övriga Finland.
För åländska organisationer är det därför viktigt att följa både:
- finsk nationell implementering
- relevanta åländska myndighetsbeslut
- sektorsspecifika krav
- offentliga upphandlingar och leverantörskrav
Många åländska verksamheter påverkas dessutom indirekt genom samarbete med:
- offentlig sektor
- kommuner
- rederier
- IT-leverantörer
- finans och försäkring
- nordiska samarbetspartners
Även mindre organisationer på Åland kan därför behöva arbeta mer strukturerat med cybersäkerhet, dokumentation och utbildning.
(Ålands Landskapsregering - NIS2: https://www.regeringen.ax/cybersakerhet)
Varför har sanktionerna skärpts?
Cyberhoten mot samhällsviktiga verksamheter har ökat kraftigt de senaste åren.
EU bedömer att många organisationer tidigare haft:
- för låg säkerhetsnivå
- otillräcklig styrning
- svag incidenthantering
- bristande ledningsförankring
- otillräcklig leverantörskontroll
NIS2 syftar därför till att skapa en högre och mer enhetlig säkerhetsnivå inom hela EU.
(ENISA – NIS2 Directive: https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/cybersecurity-policies/nis-directive-2)
Vanliga misstag kring ansvar och sanktioner
“Det gäller bara stora företag”
Många mindre och medelstora verksamheter påverkas direkt eller indirekt genom leverantörskedjor och kundkrav.
“Cybersäkerhet är IT-avdelningens ansvar”
NIS2 flyttar ansvaret högre upp i organisationen.
“Vi har antivirus och backup”
NIS2 kräver ett systematiskt säkerhetsarbete, inte bara enskilda tekniska lösningar.
“Vi dokumenterar senare”
Dokumentation är en viktig del av efterlevnaden enligt NIS2.
Hur minskar man risken för sanktioner?
1. Arbeta systematiskt
Cybersäkerhet behöver vara en kontinuerlig process och inte ett engångsprojekt.
2. Förankra säkerhetsarbetet hos ledningen
Ledningen behöver förstå riskerna och aktivt följa upp arbetet.
3. Genomför riskanalyser
Identifiera:
- kritiska system
- beroenden
- leverantörsrisker
- sannolika hot
4. Dokumentera arbetet
Dokumentera exempelvis:
- policyer
- incidentrutiner
- utbildningar
- riskbedömningar
- åtgärdsplaner
5. Utbilda personal och ledning
Utbildning är en viktig del av NIS2 och hjälper organisationer att minska mänskliga misstag.
Relevanta utbildningar:
- IT-säkerhet för beslutsfattare
- Säkerhetsmedvetenhet för personal
- Phishingutbildningar och simuleringar
- GDPR och informationssäkerhet
- AI-säkerhet för beslutsfattare
Checklista för ansvar och sanktioner i NIS2
- Identifiera om verksamheten omfattas
- Förankra cybersäkerhet hos ledningen
- Genomför regelbundna riskanalyser
- Dokumentera säkerhetsarbetet
- Inför incidentrutiner
- Säkerställ backup och återställning
- Utbilda personal och styrelse
- Granska leverantörsrisker
- Testa kontinuitetsplaner
- Följ nationell lagstiftning och tillsynskrav
Hur hjälper utbildning och säkerhetsmedvetenhet?
Många incidenter börjar fortfarande med mänskliga misstag.
Utbildning hjälper organisationer att:
- minska phishingrisker
- förbättra incidentrapportering
- stärka säkerhetskulturen
- minska sannolikheten för sanktioner
- förbättra efterlevnaden
För många organisationer är utbildning en av de mest kostnadseffektiva säkerhetsåtgärderna.
(OWASP: https://owasp.org/)
(IMY: https://www.imy.se/)
(ISO/IEC 27001: https://www.iso.org/isoiec-27001-information-security.html)
Sammanfattning
NIS2 innebär tydligare ansvar och skärpta sanktioner för organisationer som brister i sitt cybersäkerhetsarbete. Ledning och styrelse får ett större ansvar samtidigt som tillsynsmyndigheter får fler verktyg att granska och följa upp verksamheter.
Samtidigt skiljer sig den praktiska implementeringen mellan Sverige, Finland och Åland vilket gör det viktigt att följa nationell och regional utveckling.
Organisationer som arbetar strukturerat med riskhantering, utbildning, dokumentation och ledningsförankring står betydligt bättre rustade både mot cyberhot och regulatoriska krav.
Vanliga frågor om sanktioner och ansvar i NIS2
Kan företag få böter enligt NIS2?
Ja. NIS2 innehåller möjligheter till betydande administrativa sanktioner vid bristande efterlevnad.
Är ledningen ansvarig enligt NIS2?
Ja. Styrelse och ledning får ett tydligare ansvar för cybersäkerhetsarbetet.
Gäller NIS2 även mindre företag?
Ja, vissa mindre företag omfattas direkt och många påverkas indirekt genom kundkrav och leverantörskedjor.
Är dokumentation viktigt enligt NIS2?
Ja. Organisationer behöver kunna visa att säkerhetsarbetet bedrivs systematiskt.
Varför är utbildning viktigt enligt NIS2?
Utbildning minskar risken för mänskliga misstag och förbättrar organisationens säkerhetsmedvetenhet.
Skiljer sig reglerna mellan Sverige och Finland?
Ja. NIS2 är ett EU-direktiv men implementeras genom nationell lagstiftning vilket innebär vissa skillnader mellan länderna.
Påverkas Åland av NIS2?
Ja. Åland påverkas genom EU-direktivet och finsk nationell implementering, men självstyrelsen kan påverka vissa praktiska delar.
