NIS2-direktivet omfattar betydligt fler organisationer än det tidigare NIS-direktivet. Det gäller inte bara stora samhällskritiska aktörer utan även många små och medelstora företag inom bland annat energi, IT, vård, transport, offentlig sektor, livsmedel, tillverkning och digitala tjänster.
För många verksamheter är den viktigaste frågan inte längre om cybersäkerhet är viktigt, utan om organisationen faktiskt omfattas av NIS2 och vilka krav som då gäller.
Det här är viktigt eftersom NIS2 innebär tydligare krav på riskhantering, incidentrapportering, ledningsansvar och säkerhetsarbete. Företag som omfattas kan få höga sanktionsavgifter om de inte uppfyller kraven.
(Europeiska unionen: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
Vad är NIS2?
NIS2 är EU:s nya cybersäkerhetsdirektiv som ska stärka säkerheten i samhällsviktiga och digitala verksamheter inom hela EU.
Direktivet ställer krav på att organisationer arbetar systematiskt med:
- cybersäkerhet
- riskhantering
- incidentrapportering
- kontinuitetsplanering
- leverantörssäkerhet
- utbildning och säkerhetsmedvetenhet
- ledningens ansvar
NIS2 är en vidareutveckling av det tidigare NIS-direktivet och omfattar betydligt fler sektorer och organisationer än tidigare.
I Sverige, Finland och på Åland implementeras direktivet genom nationell lagstiftning och tillsynsmyndigheter får ökade befogenheter.
(Traficom Cybersäkerhetscentret: https://www.kyberturvallisuuskeskus.fi/sv/var-verksamhet/reglering-och-tillsyn/nis2-europeiska-unionens-cybersakerhetsdirektiv)
Vilka organisationer omfattas av NIS2?
NIS2 omfattar främst medelstora och stora organisationer inom samhällsviktiga och viktiga sektorer.
Förenklat gäller direktivet normalt organisationer som:
- har minst 50 anställda
eller
- har en årsomsättning eller balansomslutning över 10 miljoner euro
Samtidigt finns viktiga undantag. Vissa verksamheter omfattas oavsett storlek om de bedöms vara samhällskritiska.
Sektorer som omfattas av NIS2
Särskilt kritiska sektorer
Dessa verksamheter har högst prioritet enligt NIS2:
- Energi
- Transport
- Bank och finans
- Hälso- och sjukvård
- Dricksvatten
- Digital infrastruktur
- Offentlig förvaltning
- Rymdverksamhet
Andra viktiga sektorer
NIS2 omfattar även många andra verksamheter, exempelvis:
- Livsmedelsproduktion
- Avfallshantering
- Tillverkningsindustri
- Post och kurirtjänster
- Kemisk industri
- Digitala tjänster
- Datacenter
- IT-leverantörer
- Managed service providers
- Molntjänster
Många företag blir förvånade över att även mindre IT-bolag, driftleverantörer och teknikpartners kan omfattas indirekt genom kundkrav och leverantörskedjor.
Omfattas små företag av NIS2?
Ja, i vissa fall. Även mindre företag kan omfattas om de:
- levererar kritiska tjänster
- är viktiga underleverantörer
- hanterar samhällskritiska funktioner
- driver kritisk digital infrastruktur
- pekas ut nationellt som viktiga verksamheter
Det innebär att även mikroföretag och små IT-konsulter kan påverkas av NIS2 genom krav från kunder, upphandlingar och leverantörsavtal.
I praktiken ser många företag redan nu ökade krav på:
- säkerhetspolicyer
- multifaktorautentisering
- utbildning
- incidenthantering
- riskanalyser
- dokumentation
Hur vet man om man omfattas av NIS2?
Det är inte alltid självklart. Många organisationer tror att NIS2 bara gäller stora myndigheter eller nationell infrastruktur, men direktivet är betydligt bredare än så.
Följande frågor är en bra första kontroll:
- Är verksamheten samhällsviktig?
- Detta kan vara en tydlig indikation på att verksamheten omfattas.
- Levererar ni digitala tjänster eller IT-drift?
- Organisationer inom IT och digital infrastruktur omfattas ofta direkt eller indirekt.
- Har ni över 50 anställda?
- Många verksamheter över denna storlek omfattas av NIS2.
- Arbetar ni mot offentlig sektor?
- Leverantörer till offentlig sektor får ofta ökade säkerhetskrav.
- Hanterar ni kritisk data eller viktig infrastruktur?
- Det ökar sannolikheten att verksamheten omfattas.
- Har kunder börjat ställa cybersäkerhetskrav?
- Det kan vara ett tecken på indirekt påverkan genom leverantörskedjor och upphandlingar.
Det är också vanligt att organisationer omfattas indirekt genom upphandlingar och säkerhetskrav från större kunder.
Varför är NIS2 viktigt?
NIS2 handlar inte bara om juridik. Det handlar om affärsrisk, driftssäkerhet och förtroende.
Cyberattacker mot leverantörer och mindre företag ökar kraftigt. Många angripare riktar in sig på mindre aktörer eftersom säkerheten ofta är svagare där.
Vanliga konsekvenser av bristande cybersäkerhet:
- driftstopp
- ransomware
- dataläckor
- ekonomiska förluster
- skadat förtroende
- avtalsproblem
- försäkringsproblem
- regulatoriska sanktioner
NIS2 flyttar också ansvaret högre upp i organisationen. Styrelser och ledningar förväntas förstå cybersäkerhetsrisker och fatta aktiva beslut kring säkerhetsarbetet.
För många verksamheter är utbildning därför en viktig första åtgärd. Exempelvis kan en grundläggande utbildning som IT-säkerhet för beslutsfattare hjälpa ledning och styrelse att förstå riskerna och ansvaret enligt NIS2.
Vanliga misstag kring NIS2
“Vi är för små”
Det är ett av de vanligaste misstagen. Även mindre organisationer kan omfattas direkt eller indirekt genom leverantörskedjor.
“Det gäller bara IT-avdelningen”
NIS2 handlar lika mycket om ledning, styrning och verksamhetsrisk som om teknik.
“Vi har antivirus, så vi är säkra”
NIS2 kräver ett systematiskt säkerhetsarbete, inte bara tekniska skydd.
“Vi kan vänta”
Många organisationer underskattar hur lång tid det tar att bygga upp processer, policyer, utbildning och dokumentation.
Hur arbetar man praktiskt med NIS2?
Det viktigaste är att börja strukturerat.
1. Kartlägg verksamheten
Identifiera:
- kritiska system
- viktiga leverantörer
- känslig information
- verksamhetsrisker
- beroenden
2. Gör en riskanalys
Analysera:
- sannolika hot
- konsekvenser
- sårbarheter
- beroenden
- incidentscenarier
3. Inför grundläggande säkerhetsåtgärder
Exempel:
- multifaktorautentisering
- säkerhetskopiering
- patchhantering
- åtkomstkontroll
- loggning
- incidentrutiner
4. Utbilda personal och ledning
Mänskliga misstag är fortfarande en av de vanligaste orsakerna till incidenter.
Regelbunden utbildning inom phishing, lösenord, social engineering och säkerhetsrutiner är därför centralt.
Exempel på relevanta utbildningar:
5. Dokumentera säkerhetsarbetet
NIS2 handlar även om att kunna visa att säkerhetsarbetet faktiskt bedrivs.
Dokumentera exempelvis:
- policyer
- riskbedömningar
- incidenthantering
- utbildningar
- säkerhetsrutiner
- ansvarsfördelning
Checklista för NIS2
Här är en enkel startchecklista för organisationer som vill förbereda sig för NIS2:
- Identifiera om verksamheten omfattas
- Kartlägg kritiska system och tjänster
- Gör en grundläggande riskanalys
- Inför multifaktorautentisering
- Säkerställ backup och återställning
- Utbilda personal och ledning
- Skapa incidentrutiner
- Dokumentera säkerhetsarbetet
- Granska leverantörsrisker
- Uppdatera policyer och riktlinjer
- Testa incidenthantering
- Följ utvecklingen av nationell lagstiftning
Hur hjälper utbildning och säkerhetsmedvetenhet?
Många organisationer fokuserar först på teknik, men utbildning är ofta den snabbaste och mest kostnadseffektiva säkerhetsåtgärden.
NIS2 ställer tydliga krav på att organisationer arbetar med säkerhetsmedvetenhet och kompetens.
Det gäller särskilt:
- ledning
- styrelser
- chefer
- administrativ personal
- IT-personal
- leverantörer
Utbildningar hjälper organisationer att:
- minska phishingrisker
- förbättra incidentrapportering
- förstå regulatoriska krav
- minska mänskliga misstag
- skapa säkerhetskultur
För organisationer som är i början av sitt säkerhetsarbete är det ofta klokt att kombinera policyarbete med praktisk utbildning och återkommande säkerhetskommunikation.
(OWASP: https://owasp.org/)
(IMY: https://www.imy.se/)
(ISO: https://www.iso.org/isoiec-27001-information-security.html)
Sammanfattning
NIS2 omfattar betydligt fler organisationer än många tror. Direktivet gäller inte bara stora myndigheter och kritisk infrastruktur utan även många företag inom IT, digitala tjänster, tillverkning, offentlig sektor och samhällsviktiga leverantörskedjor.
För många verksamheter är frågan inte längre om cybersäkerhet är viktigt, utan hur man bygger ett praktiskt och hållbart säkerhetsarbete.
Det viktigaste är att börja i tid. Organisationer som arbetar strukturerat med riskhantering, utbildning och säkerhetsmedvetenhet står betydligt bättre rustade både mot cyberhot och framtida regulatoriska krav.
Vanliga frågor om NIS2
Gäller NIS2 små företag?
Ja, vissa små företag kan omfattas direkt eller indirekt, särskilt om de levererar samhällsviktiga tjänster eller är underleverantörer till större aktörer.
Är NIS2 samma sak som GDPR?
Nej. NIS2 handlar främst om cybersäkerhet och driftssäkerhet medan GDPR fokuserar på personuppgifter och integritet.
Gäller NIS2 bara IT-företag?
Nej. Direktivet omfattar många olika sektorer, bland annat vård, energi, transport, offentlig sektor och tillverkningsindustri.
Måste styrelsen involveras i NIS2?
Ja. NIS2 ställer tydligare krav på ledningens ansvar och styrning av cybersäkerhetsarbetet.
Vad händer om man inte följer NIS2?
Organisationer kan få sanktioner, tillsynsåtgärder och i vissa fall betydande administrativa böter.
Behöver personal utbildas enligt NIS2?
Ja. Säkerhetsmedvetenhet och utbildning är en viktig del av kraven inom NIS2.
När börjar NIS2 gälla?
EU-direktivet är redan beslutat, men exakt nationell implementering och tillsyn kan skilja mellan olika länder.
Hur börjar man arbeta med NIS2?
Börja med att kartlägga verksamheten, göra en riskanalys och utbilda ledning och personal i grundläggande cybersäkerhet.
