NIS2 innebär att cybersäkerhet inte längre kan hanteras enbart av IT-avdelningen. Det nya EU-direktivet ställer tydligare krav på ledning och styrelse att förstå cyberrisker, fatta informerade beslut och säkerställa att organisationen arbetar systematiskt med cybersäkerhet.
För många verksamheter innebär det en stor förändring. Cybersäkerhet har gått från att vara ett tekniskt område till att bli en fråga om verksamhetsstyrning, riskhantering och juridiskt ansvar.
Den här artikeln förklarar vad NIS2 innebär för ledningsgrupper och styrelser, vilka krav som ställs och hur organisationer kan arbeta praktiskt för att minska riskerna.
Vad är NIS2?
NIS2 är EU:s nya cybersäkerhetsdirektiv som syftar till att stärka cybersäkerheten och motståndskraften inom samhällsviktiga och viktiga verksamheter.
Direktivet ställer högre krav på:
- riskhantering
- incidentrapportering
- leverantörssäkerhet
- kontinuitetsplanering
- säkerhetsstyrning
- utbildning och säkerhetsmedvetenhet
- ledningens ansvar
NIS2 ersätter det tidigare NIS-direktivet och omfattar betydligt fler organisationer än tidigare.
Relevant information och vägledning:
- (EU NIS2-direktivet: https://eur-lex.europa.eu/eli/dir/2022/2555/oj)
- (ENISA: https://www.enisa.europa.eu/)
- (Cybersäkerhetscentret Finland: https://www.kyberturvallisuuskeskus.fi/sv)
- (Ålands landskapslag om cybersäkerhet och motståndskraft: https://www.regeringen.ax/alandsk-lagstiftning/alex/202557)
Vad innebär ledningsansvar enligt NIS2?
En av de viktigaste förändringarna i NIS2 är att ledning och styrelse får ett tydligare ansvar för cybersäkerhetsarbetet.
Det innebär att ledningen förväntas:
- förstå verksamhetens cyberrisker
- godkänna säkerhetsåtgärder
- följa upp cybersäkerhetsarbete
- säkerställa incidenthantering
- arbeta med riskhantering
- prioritera utbildning och säkerhetsmedvetenhet
Ledningen behöver inte vara tekniska experter, men man behöver kunna fatta välgrundade beslut kring cybersäkerhet.
Varför är NIS2 viktigt för ledningen?
Cyberattacker påverkar inte bara IT-system. De påverkar hela verksamheten.
Konsekvenser kan inkludera:
- driftstopp
- ekonomiska förluster
- dataläckor
- skadat förtroende
- juridiska problem
- leveransproblem
- sanktionsavgifter
För ledningen handlar NIS2 därför om att skydda verksamheten och minska affärsrisker.
Vanliga misstag kring NIS2 och ledningsansvar
Man ser cybersäkerhet som en ren IT-fråga
Det här är fortfarande mycket vanligt.
NIS2 fokuserar däremot på verksamhetsstyrning och riskhantering. Teknik är bara en del av helheten.
Säkerhetsarbetet saknar struktur
Många organisationer arbetar fortfarande reaktivt istället för systematiskt.
Vanliga problem:
- otydliga ansvar
- saknade policyer
- bristande dokumentation
- otillräcklig utbildning
- svag incidenthantering
Ledningen får för lite information
I vissa organisationer rapporteras cybersäkerhet endast sporadiskt till ledningen.
Det gör det svårt att:
- prioritera rätt
- förstå risker
- fatta informerade beslut
- följa upp åtgärder
Vilka organisationer påverkas av NIS2?
NIS2 omfattar betydligt fler verksamheter än tidigare.
Exempel på områden som kan omfattas:
- energi
- transport
- vård
- offentlig sektor
- digital infrastruktur
- vattenförsörjning
- livsmedel
- IT-tjänster
- elektronisk kommunikation
Även mindre organisationer kan påverkas indirekt genom kundkrav, leverantörskrav och avtal.
Läs mer i SCAB:s Kunskapsbloggen
Hur arbetar ledningen praktiskt med NIS2?
1. Gör cybersäkerhet till en strategisk fråga
Cybersäkerhet bör vara en återkommande punkt i:
- styrelsemöten
- ledningsmöten
- riskgenomgångar
- verksamhetsplanering
2. Identifiera verksamhetens risker
Ledningen behöver förstå:
- vilka system som är kritiska
- vilka hot som är mest relevanta
- vilka konsekvenser incidenter kan få
- vilka beroenden verksamheten har
3. Säkerställ grundläggande säkerhetsåtgärder
Grundläggande skydd är ofta viktigare än avancerade tekniska lösningar.
Exempel:
- multifaktorautentisering
- backup
- uppdateringar
- behörighetsstyrning
- incidentrutiner
- säkerhetsutbildning
4. Dokumentera säkerhetsarbetet
Dokumentation blir allt viktigare inom cybersäkerhet.
Det gäller exempelvis:
- riskanalyser
- policyer
- utbildningar
- incidenthantering
- säkerhetsåtgärder
- leverantörsbedömningar
5. Arbeta med utbildning och säkerhetsmedvetenhet
Många cyberincidenter börjar med mänskliga misstag.
Därför behöver både ledning och personal förstå:
- phishing
- social manipulation
- informationssäkerhet
- lösenordshantering
- incidentrapportering
Relevanta utbildningar:
Policyer och styrning blir viktigare
NIS2 innebär att organisationer behöver arbeta mer strukturerat med styrning och ansvar.
Viktiga policyområden inkluderar:
- informationssäkerhet
- incidenthantering
- lösenord
- åtkomsthantering
- leverantörssäkerhet
- distansarbete
- användning av AI-tjänster
Färdiga policymallar kan hjälpa verksamheter att snabbare skapa struktur: Policymallar för IT-säkerhet
Checklista för ledning och styrelse enligt NIS2
Här är en praktisk checklista för organisationer som vill stärka sitt arbete kring NIS2.
Checklista
- Har vi identifierat våra cyberrisker?
- Får ledningen regelbundna säkerhetsrapporter?
- Finns dokumenterade säkerhetspolicyer?
- Utbildas personalen regelbundet?
- Har vi incidentrutiner?
- Har vi fungerande backup?
- Används multifaktorautentisering?
- Har vi granskat leverantörsrisker?
- Dokumenteras säkerhetsarbetet?
- Vet ledningen vilka lagkrav som gäller?
Hur hjälper utbildning och säkerhetskultur?
Teknik är viktigt, men säkerhetskultur är avgörande.
När ledningen engagerar sig i cybersäkerhet påverkar det hela organisationen.
Det skapar:
- tydligare ansvar
- bättre rutiner
- högre säkerhetsmedvetenhet
- snabbare incidentrapportering
- bättre riskhantering
Utbildning är därför en central del av NIS2-arbetet.
Sammanfattning
NIS2 innebär att cybersäkerhet blir ett tydligt ledningsansvar.
Styrelser och ledningar behöver förstå cyberrisker, arbeta systematiskt med säkerhet och säkerställa att organisationen har rätt rutiner, utbildningar och säkerhetsåtgärder på plats.
Organisationer som arbetar proaktivt med cybersäkerhet står betydligt bättre rustade mot både cyberhot och framtida regulatoriska krav.
Vanliga frågor om NIS2 och ledningsansvar
Vad är NIS2?
NIS2 är EU:s nya cybersäkerhetsdirektiv som ställer högre krav på cybersäkerhet, riskhantering och incidentrapportering.
Måste ledningen förstå teknik för att uppfylla NIS2?
Nej. Ledningen behöver främst förstå risker, ansvar och konsekvenser samt kunna fatta informerade beslut.
Vilka organisationer omfattas av NIS2?
Direktivet omfattar många samhällsviktiga och viktiga verksamheter inom både offentlig och privat sektor.
Varför är utbildning viktigt inom NIS2?
Många cyberincidenter börjar med mänskliga misstag. Utbildning minskar riskerna och stärker säkerhetskulturen.
Vad händer om organisationer inte arbetar med cybersäkerhet?
Bristande cybersäkerhet kan leda till incidenter, ekonomiska förluster, tillsynsproblem och skadat förtroende.
Är små företag också berörda av NIS2?
Ja. Även mindre verksamheter kan påverkas indirekt genom leverantörskrav, avtal och ökade säkerhetsförväntningar.
