NIS2 innebär att cybersäkerhet inte längre bara är en fråga för IT-avdelningen. Styrelse och ledning får ett tydligare ansvar för att organisationen arbetar systematiskt med cybersäkerhet, riskhantering och incidentrapportering.
För många företag är detta en av de största förändringarna i hela NIS2-direktivet. Styrelsen förväntas inte längre bara “få information” om cybersäkerhet, utan aktivt förstå riskerna, fatta beslut och följa upp säkerhetsarbetet.
(EU: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
(ENISA – NIS2 Directive: https://www.enisa.europa.eu/topics/state-of-cybersecurity-in-the-eu/cybersecurity-policies/nis-directive-2) (https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene/raising-awareness-campaigns/network-and-information-systems-directive-2-nis2)
Vad innebär styrelseansvar enligt NIS2?
NIS2 ställer krav på att ledningsorgan och styrelser:
- godkänner cybersäkerhetsåtgärder
- övervakar säkerhetsarbetet
- förstår cyberrisker
- säkerställer att organisationen arbetar systematiskt med säkerhet
- följer upp incidenter och risker
- prioriterar resurser och investeringar inom cybersäkerhet
Det innebär att cybersäkerhet blir en styrningsfråga på samma nivå som ekonomi, juridik och verksamhetsrisk.
Enligt NIS2 kan ledningen i vissa fall hållas ansvarig om organisationen inte uppfyller kraven.
(ENISA Technical Guidance: https://www.enisa.europa.eu/publications/nis2-technical-implementation-guidance)
Varför har styrelsens ansvar skärpts?
Cyberhot påverkar idag hela verksamheter, inte bara IT-system.
Ett ransomware-angrepp kan exempelvis leda till:
- produktionsstopp
- förlorade intäkter
- dataläckor
- leveransproblem
- juridiska konsekvenser
- skadat förtroende
- problem med försäkringar och avtal
EU:s bedömning är att många organisationer tidigare haft för låg ledningsförankring kring cybersäkerhet. Därför flyttas ansvaret högre upp i organisationen genom NIS2.
(MCF – Cybersäkerhetslagen för ledningen: https://www.mcf.se/sv/amnesomraden/informationssakerhet-och-cybersakerhet/krav-och-regler-inom-informationssakerhet-och-cybersakerhet/nis-direktivet/cybersakerhetslagen-nis2/cybersakerhetslagen-for-ledningen/)
Vad måste styrelsen faktiskt göra?
Många tror att styrelseansvaret innebär att ledamöter själva måste bli tekniska experter. Så är det inte.
Däremot måste styrelsen kunna:
- förstå verksamhetens cyberrisker
- fatta informerade beslut
- prioritera resurser
- ställa rätt frågor
- följa upp säkerhetsarbetet
- förstå konsekvenserna av incidenter
Styrelsen behöver också säkerställa att organisationen har:
- riskanalyser
- säkerhetspolicyer
- incidenthantering
- kontinuitetsplanering
- leverantörskontroller
- utbildning och säkerhetsmedvetenhet
Styrelsen måste kunna visa att arbetet sker
NIS2 handlar inte bara om att “ha säkerhet”, utan också om att kunna dokumentera och visa att säkerhetsarbetet bedrivs systematiskt.
Det kan exempelvis innebära:
- protokollförda beslut
- riskrapporter till styrelsen
- säkerhetsgenomgångar
- dokumenterade policyer
- uppföljning av incidenter
- utbildningsinsatser
Vid tillsyn kan organisationen behöva visa hur ledningen arbetat med cybersäkerhet.
(Transportstyrelsen – Cybersäkerhet NIS2: https://www.transportstyrelsen.se/sv/om-oss/det-har-ar-transportstyrelsen/krisberedskap-och-sakerhet/cybersakerhet-nis2/)
Vanliga misstag i styrelsearbetet
“Det där är IT-avdelningens ansvar”
Det är ett av de vanligaste misstagen.
NIS2 gör cybersäkerhet till en lednings- och verksamhetsfråga, inte bara en teknisk fråga.
“Vi är för små för att vara intressanta”
Även mindre organisationer utsätts idag för ransomware, phishing och leverantörsattacker.
“Vi köpte ett säkerhetssystem”
Teknik räcker inte ensam. NIS2 kräver ett systematiskt arbetssätt med styrning, utbildning och riskhantering.
“Vi tar det senare”
Många organisationer underskattar hur lång tid det tar att bygga upp policyer, processer och säkerhetskultur.
Hur bör styrelsen arbeta praktiskt med NIS2?
1. Gör cybersäkerhet till en stående styrelsefråga
Cybersäkerhet bör behandlas regelbundet, inte bara efter incidenter.
Exempel på återkommande frågor:
- aktuella risker
- incidenter
- leverantörsrisker
- status på säkerhetsåtgärder
- utbildningsnivå
- kontinuitetsplanering
2. Säkerställ tydligt ansvar
Styrelsen behöver veta:
- vem som ansvarar för säkerhetsarbetet
- vem som rapporterar incidenter
- vem som följer upp leverantörer
- vem som äger riskhanteringen
3. Efterfråga riskanalyser
Styrelsen bör regelbundet få:
- riskbedömningar
- konsekvensanalyser
- statusrapporter
- incidentrapporter
- åtgärdsplaner
4. Prioritera utbildning
NIS2 ställer tydliga krav på kunskap och säkerhetsmedvetenhet även hos ledningen.
För många styrelser är utbildning den viktigaste första åtgärden.
Exempel på relevanta utbildningar:
- IT-säkerhet för beslutsfattare
- Säkerhetsmedvetenhet för personal
- AI-säkerhet för beslutsfattare
- GDPR och informationssäkerhet
- Aktuell åländsk lagstiftning om cybersäkerhet och motståndskraft
Vilka frågor bör styrelsen ställa?
Här är exempel på frågor som styrelsen bör kunna diskutera:
- Vilka är våra största cyberrisker?
- Vilka system är mest kritiska?
- Hur snabbt upptäcker vi incidenter?
- Har vi fungerande backup?
- Hur beroende är vi av externa leverantörer?
- Är personalen utbildad?
- Har vi testat incidenthantering?
- Vet vi vem som ansvarar vid en attack?
- Hur påverkar en större incident verksamheten ekonomiskt?
Checklista för styrelser inför NIS2
- Förstå om verksamheten omfattas av NIS2
- Gör cybersäkerhet till en styrelsefråga
- Säkerställ regelbundna riskrapporter
- Fastställ ansvar och roller
- Godkänn säkerhetspolicyer
- Säkerställ incidenthantering
- Prioritera utbildning
- Följ upp leverantörsrisker
- Dokumentera beslut och åtgärder
- Testa kontinuitets- och krisplaner
- Säkerställ att säkerhetsarbetet får resurser
Hur hjälper utbildning och säkerhetsmedvetenhet?
Många styrelser saknar idag erfarenhet av cybersäkerhet, vilket är helt normalt. Problemet uppstår först när organisationen inte arbetar aktivt för att bygga upp kompetensen.
NIS2 betonar att ledningen måste förstå riskerna och kunna fatta välgrundade beslut kring cybersäkerhet.
Utbildning hjälper styrelser att:
- förstå regulatoriska krav
- identifiera verksamhetsrisker
- fatta bättre prioriteringar
- minska sannolikheten för incidenter
- förbättra krisberedskap
- förstå leverantörsberoenden
Säkerhetsmedvetenhet är därför inte bara en IT-fråga utan en del av modern bolagsstyrning.
(ENISA – Cybersecurity Roles and Skills for NIS2: https://www.enisa.europa.eu/publications/cybersecurity-roles-and-skills-for-nis2-essential-and-important-entities)
Sammanfattning
NIS2 innebär att styrelser och ledningar får ett betydligt tydligare ansvar för cybersäkerhet. Organisationer förväntas arbeta systematiskt med riskhantering, incidentrapportering, säkerhetsstyrning och utbildning.
Styrelsen behöver inte vara tekniska specialister, men måste förstå riskerna, fatta aktiva beslut och följa upp säkerhetsarbetet.
För många organisationer är den viktigaste första åtgärden att börja arbeta strukturerat med styrning, utbildning och säkerhetsmedvetenhet innan en incident inträffar.
Vanliga frågor om NIS2 och styrelseansvar
Är styrelsen personligt ansvarig enligt NIS2?
I vissa fall kan ledningen hållas ansvarig om organisationen brister i sitt säkerhetsarbete enligt nationell lagstiftning och tillsyn.
Måste styrelsen utbildas enligt NIS2?
Ja. NIS2 betonar att ledningen ska ha tillräcklig kunskap för att förstå och hantera cyberrisker.
Är cybersäkerhet fortfarande IT-avdelningens ansvar?
IT ansvarar ofta för den tekniska implementationen, men det övergripande ansvaret ligger hos ledning och styrelse.
Måste styrelsen godkänna säkerhetsåtgärder?
Ja. NIS2 kräver att ledningen godkänner och övervakar organisationens cybersäkerhetsarbete.
Behöver mindre företag bry sig om styrelseansvaret?
Ja. Även mindre organisationer påverkas ofta genom leverantörskedjor, kundkrav och ökade regulatoriska förväntningar.
Vad är viktigast att börja med?
Riskanalys, tydligt ansvar, grundläggande säkerhetsrutiner och utbildning är ofta de viktigaste första stegen.
Hur ofta bör cybersäkerhet tas upp i styrelsen?
Cybersäkerhet bör behandlas regelbundet som en del av organisationens löpande riskhantering och verksamhetsstyrning.
