Vanliga frågor och svar om NIS2

Hur kan vi hjälpa dig med NIS2?

NIS2

• Vad är NIS2-direktivet/Cybersäkerhetslagen?

  NIS2 (Network and Information Security Directive 2) är ett EU-direktiv som syftar till att höja den gemensamma cybersäkerhetsnivån inom EU. Det ersätter det tidigare NIS-direktivet och ställer skärpta krav på både privata och offentliga organisationer. 

  Direktivet fokuserar på: 

  • systematiskt och riskbaserat cybersäkerhetsarbete 

  • tydligt ledningsansvar 

  • krav på incidentrapportering 

  • stärkta krav på leverantörskedjor 

  • tillsyn och sanktioner 

  Eftersom det är ett direktiv implementeras det nationellt, i Sverige genom Cybersäkerhetslagen.

• Vad är Cybersäkerhetslagen?

  Cybersäkerhetslagen är den svenska implementeringen av NIS2-direktivet och innebär att de krav som definieras på EU-nivå blir juridiskt bindande för organisationer i Sverige.

• Vilka organisationer omfattas av NIS2?

  NIS2 omfattar organisationer som anses vara samhällsviktiga eller viktiga för ekonomin. 

  Det inkluderar exempelvis: 

  • energi, transport, hälso- och sjukvård 

  • finanssektorn 

  • digital infrastruktur och IT-tjänster 

  • offentlig sektor 

  • vissa tillverknings- och industriföretag 

  Organisationer delas in i: 

  • väsentliga entiteter (strängare tillsyn) 

  • viktiga entiteter 

  Klassificeringen baseras främst på: 

  • sektor 

  • storlek 

  • verksamhetens kritikalitet 
• Vad är skillnaden mellan NIS och NIS2?

  NIS2 är en vidareutveckling av det första NIS-direktivet och innebär en tydlig skärpning: 

  NIS (tidigare): 

  • begränsad sektorstäckning 

  • mindre krav på ledningen 

  • mindre harmoniserad tillsyn 

  NIS2: 

  • omfattar fler sektorer och fler organisationer 

  • tydligt krav på ledningsansvar och ansvarsskyldighet 

  • mer detaljerade krav på riskhantering 

  • skärpta krav på incidentrapportering 

  • inför sanktioner vid brister 

  Kort sagt: NIS2 gör cybersäkerhet till en affärs- och ledningsfråga, inte bara en IT-fråga. 

• Hur vet jag om mitt företag omfattas av NIS2?

  För att avgöra om du omfattas behöver du analysera tre saker: 

  1. Sektor
     Tillhör ni en sektor som omfattas (t.ex.energi, finans, IT, offentlig sektor)? 
  2. Storlek
     Många krav gäller organisationer över en viss storlek (t.ex.medelstora/stora företag). 
  3. Kritikalitet
     Är er verksamhet samhällsviktig eller beroende av digital infrastruktur?

  I praktiken görs detta ofta genom: 

  • en initial NIS2-screening/analys 

  • dialog med tillsynsmyndighet (i vissa fall) 
• Vilka krav ställer NIS2 på cybersäkerhet?

  NIS2 ställer krav på att organisationer arbetar systematiskt, dokumenterat och riskbaserat med cybersäkerhet. 

  Kärnkraven är: 

  • etablera ett riskhanteringsramverk 

  • införa tekniska och organisatoriska säkerhetsåtgärder 

  • säkerställa incidenthantering 

  • arbeta med kontinuitet och resiliens 

  • hantera leverantörsrisker 

  • tydliggöra ledningens ansvar 

  Detta ligger nära hur ett LIS enligt ISO 27001 är uppbyggt – vilket är varför standarden ofta används som bas. 

• Vilka säkerhetsåtgärder krävs enligt NIS2?

  NIS2 specificerar inte exakta tekniska lösningar, men kräver att organisationer inför ”lämpliga och proportionerliga åtgärder”, bland annat: 

  • riskhanteringsprocesser 

  • incidenthantering 

  • kontinuitets- och återställningsplaner (backup, redundans) 

  • åtkomstkontroll och autentisering 

  • säkerhet i leverantörskedjan 

  • utbildning och awareness 

  Det viktiga är att åtgärder: 

  • är riskbaserade 

  • dokumenteras 

  • följs upp 
• Vad innebär incidentrapportering enligt NIS2?

  Organisationer måste rapportera allvarliga cybersäkerhetsincidenter till tillsynsmyndighet inom definierade tidsramar. 

  Det innebär: 

  • att organisationen måste ha en definierad incidentprocess 

  • att incidenter klassificeras (vad är rapporteringspliktigt?) 

  • att rapportering sker inom fastställda tidsfönster 

  • att uppföljning och slutrapport krävs 

  Detta ställer krav på både: 

  • teknik (upptäckt och loggning) 

  • process (vem rapporterar och hur) 
• Vilka sanktioner finns vid bristande efterlevnad av NIS2?

  NIS2 inför tydligare sanktionsmöjligheter än tidigare: 

  • administrativa sanktionsavgifter 

  • förelägganden från tillsynsmyndighet 

  • krav på åtgärder 

  • i vissa fall personligt ansvar för ledning 

  Detta innebär att cybersäkerhet inte längre är “frivillig förbättring” utan regulatoriskt krav med konsekvenser. 

  Hur förbereder man sig för NIS2? 

  Ett strukturerat arbetssätt är avgörande. Vanligt upplägg: 

  1. Screening – omfattas vi?
  2. GAP-analys – vad saknas?
  3.  Etablera ramverk (ofta ISO 27001)
  4. Införa kontroller och processer
  5. Säkerställa rapportering och uppföljning 

  Nyckeln är att inte implementera punktlösningar utan bygga ett sammanhängande system (LIS). 

• Hur genomför man en NIS2-mognadsbedömning?

  En mognadsbedömning analyserar hur väl organisationen uppfyller NIS2-kraven. 

  Den omfattar typiskt: 

  • styrning och ledning 

  • riskhantering 

  • tekniska kontroller 

  • incidenthantering 

  • leverantörsstyrning 

  Resultatet blir: 

  • nulägesbild 

  • identifierade gap 

  • prioriterad åtgärdsplan 

  Detta är ofta första steget i ett NIS2-program. 

• Hur kan ledningen arbeta med NIS2?

  Ledningen har en central roll enligt NIS2 och ansvarar för: 

  • att godkänna riskhanteringsåtgärder 

  • att följa upp cybersäkerhetsarbetet 

  • att säkerställa resurser 

  • att integrera säkerhet i verksamhetsstyrning 

  I praktiken innebär det att: 

  • cybersäkerhet lyfts från IT till ledningsnivå 

  • risker hanteras som affärsrisker 

  • beslut dokumenteras 

  Detta är en av de största förändringarna jämfört med tidigare regelverk. 

• Hur påverkar NIS2 leverantörskedjan?

  NIS2 ställer tydliga krav på att organisationer ska hantera risker i leverantörskedjan. 

  Det innebär att man måste: 

  • identifiera kritiska leverantörer 

  • ställa säkerhetskrav i avtal 

  • följa upp leverantörer 

  • säkerställa att tredjepartsrisker hanteras 

  Detta är ofta ett av de mest krävande områdena i praktiken, eftersom det involverar: 

  • flera parter 

  • beroenden mellan system och tjänster 

  • behov av kontinuerlig uppföljning 

Mer från Omegapoint