Skillnaden mellan NIS och NIS2

NIS2 är en omfattande uppdatering av det ursprungliga NIS-direktivet och innebär betydligt skärpta krav på cybersäkerhet inom EU. Många organisationer som tidigare inte omfattades av NIS påverkas nu av NIS2, samtidigt som kraven på riskhantering, incidentrapportering och ledningsansvar har blivit tydligare.

För företag och offentlig sektor är det därför viktigt att förstå skillnaden mellan NIS och NIS2 och vad de nya reglerna faktiskt innebär i praktiken.

(EU – NIS2-direktivet: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)

(MCF – NIS och cybersäkerhet: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/)

Vad är NIS?

NIS står för Network and Information Security Directive och var EU:s första gemensamma cybersäkerhetsdirektiv.

Syftet med NIS var att stärka säkerheten i samhällsviktiga och digitala tjänster genom krav på:

cybersäkerhet
incidentrapportering
riskhantering
nationellt samarbete

Det ursprungliga direktivet antogs 2016 och fokuserade främst på:

kritisk infrastruktur
digitala tjänsteleverantörer
samhällsviktiga verksamheter

Vad är NIS2?

NIS2 är den uppdaterade och betydligt bredare versionen av NIS.

Det nya direktivet infördes eftersom cyberhoten har ökat kraftigt och det tidigare regelverket ansågs för begränsat.

NIS2 innebär bland annat:

fler omfattade sektorer
fler omfattade organisationer
tydligare säkerhetskrav
större ansvar för ledningen
skärpta tillsynsregler
högre sanktionsmöjligheter
ökade krav på leverantörssäkerhet
större fokus på utbildning och säkerhetsmedvetenhet

(ENISA – NIS2 Directive: https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/cybersecurity-policies/nis-directive-2)

Den största skillnaden mellan NIS och NIS2

Den största förändringen är att NIS2 omfattar betydligt fler verksamheter och ställer högre krav på styrning och säkerhetsarbete.

Medan det tidigare NIS-direktivet främst fokuserade på ett begränsat antal samhällsviktiga aktörer omfattar NIS2 nu många fler sektorer och leverantörsled.

Det innebär att även mindre och medelstora organisationer påverkas i betydligt större utsträckning.

Fler sektorer omfattas av NIS2

NIS omfattade främst:

energi
transport
vård
bank och finans
digital infrastruktur

NIS2 omfattar dessutom exempelvis:

offentlig sektor
livsmedelsproduktion
avfallshantering
tillverkningsindustri
datacenter
molntjänster
managed service providers
post och logistik

Många IT-leverantörer och teknikföretag påverkas därför för första gången.

Strängare krav på ledning och styrelse

En viktig skillnad är att NIS2 tydligare placerar ansvaret hos ledning och styrelse.

NIS2 kräver att ledningen:

godkänner säkerhetsåtgärder
följer upp risker
förstår cyberhot
prioriterar säkerhetsarbete
säkerställer resurser och utbildning

Cybersäkerhet blir därmed en ledningsfråga och inte bara ett ansvar för IT-avdelningen.

Relevanta utbildningar:

(MCF – Cybersäkerhetslagen för ledningen: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/cybersakerhetslagen-nis2/cybersakerhetslagen-for-ledningen/)

NIS2 ställer högre krav på säkerhetsåtgärder

NIS innehöll relativt övergripande krav kring säkerhetsarbete.

NIS2 specificerar tydligare områden som organisationer behöver arbeta med, exempelvis:

riskhantering
multifaktorautentisering
incidentrapportering
backup och återställning
kontinuitetsplanering
leverantörssäkerhet
loggning och övervakning
utbildning och säkerhetsmedvetenhet

Det innebär att organisationer behöver arbeta mer systematiskt och dokumenterat.

Leverantörssäkerhet får större fokus

En annan viktig skillnad är att NIS2 ställer större krav på att hantera risker i leverantörskedjor.

Många cyberattacker sker idag via:

IT-leverantörer
molntjänster
externa konsulter
driftpartners
tredjepartssystem

Organisationer behöver därför granska sina leverantörer betydligt mer noggrant än tidigare.

Incidentrapportering blir tydligare

NIS2 innehåller tydligare krav på hur och när incidenter ska rapporteras.

Det gäller exempelvis:

tidsramar
informationskrav
uppföljning
rapportering till tillsynsmyndigheter

Organisationer behöver därför ha tydliga incidentrutiner och ansvarsfördelning.

(Traficom Cybersäkerhetscentret – NIS2: https://www.kyberturvallisuuskeskus.fi/sv/var-verksamhet/reglering-och-tillsyn/nis2-europeiska-unionens-cybersakerhetsdirektiv)

Högre krav på utbildning och säkerhetsmedvetenhet

NIS2 lägger större vikt vid människor och säkerhetskultur än tidigare.

Organisationer behöver arbeta aktivt med:

säkerhetsutbildning
phishingträning
incidentmedvetenhet
ledningsutbildning
återkommande säkerhetsinformation

Exempel på relevanta utbildningar:

Vanliga missförstånd kring NIS2

“NIS2 är bara en liten uppdatering”

Det stämmer inte. NIS2 innebär betydligt större förändringar än många tror.

“Det gäller bara stora organisationer”

Många mindre och medelstora företag påverkas nu direkt eller indirekt.

“Det handlar bara om teknik”

NIS2 omfattar även styrning, utbildning, processer och ledningsansvar.

“Vi hade redan NIS så vi är klara”

Organisationer som tidigare omfattades av NIS behöver ofta uppdatera sitt säkerhetsarbete för att möta NIS2-kraven.

Hur bör organisationer förbereda sig för NIS2?

1. Kartlägg om verksamheten omfattas

Identifiera:

verksamhetsområde
kritiska tjänster
leverantörsroller
digital infrastruktur

2. Genomför riskanalyser

Analysera:

hot
sårbarheter
beroenden
konsekvenser

3. Uppdatera säkerhetsrutiner

Säkerställ:

multifaktorautentisering
backup
incidentrutiner
leverantörsgranskningar
dokumentation

4. Utbilda ledning och personal

Utbildning är en viktig del av NIS2 och behöver vara återkommande.

5. Dokumentera säkerhetsarbetet

Organisationen behöver kunna visa att säkerhetsarbetet bedrivs systematiskt.

Checklista för skillnaden mellan NIS och NIS2

NIS2 omfattar fler sektorer
NIS2 omfattar fler organisationer
NIS2 ställer tydligare säkerhetskrav
NIS2 ger större ansvar till ledningen
NIS2 fokuserar mer på leverantörssäkerhet
NIS2 innehåller tydligare incidentkrav
NIS2 har större fokus på utbildning
NIS2 innebär skärpt tillsyn och sanktioner

Hur hjälper utbildning och säkerhetsmedvetenhet?

Många organisationer underskattar fortfarande den mänskliga faktorn inom cybersäkerhet.

NIS2 tydliggör att:

personal behöver utbildas
ledningen behöver förstå cyberrisker
säkerhetskultur är viktig
phishingrisker behöver hanteras
incidentrapportering behöver fungera

Utbildning hjälper organisationer att minska risker och förbättra efterlevnaden av NIS2.

(OWASP: https://owasp.org/)

(IMY: https://www.imy.se/)

(ISO/IEC 27001: https://www.iso.org/isoiec-27001-information-security.html)

Sammanfattning

NIS2 är betydligt mer omfattande än det tidigare NIS-direktivet. Fler organisationer omfattas, kraven är tydligare och ledningens ansvar har stärkts kraftigt.

För många verksamheter innebär NIS2 att cybersäkerhet behöver bli en integrerad del av verksamhetsstyrningen och inte bara en teknisk fråga för IT-avdelningen.

Organisationer som börjar arbeta strukturerat med riskhantering, utbildning och säkerhetsrutiner redan nu står betydligt bättre rustade inför både cyberhot och framtida regulatoriska krav.