Innehållsförteckning

• Introduktion

• Från NIS till NIS2 – varför en uppdatering?

• Vem omfattas av NIS2?

• Nyckelkrav i NIS2

• Hur kommer svenska företag och organisationer att påverkas?

• Möjligheter med NIS2

• Utmaningar längs vägen

• Vad bör företag göra nu?

• Rekommenderade kurser på AVC

• Slutsats

Introduktion

Digitaliseringen fortsätter att genomsyra alla samhällsområden. Affärsmodeller, kritiska samhällsfunktioner och medborgarnas vardagsliv bygger alltmer på digital infrastruktur. Denna utveckling medför dock en kraftig ökning av sårbarheten för cyberattacker, dataintrång och andra IT-relaterade incidenter. För att öka den digitala motståndskraften hos sina medlemsstater har EU infört ett nytt ramverk: NIS2-direktivet

Sedan den 17 oktober 2024 är NIS2 en del av svensk lag och innebär omfattande nya krav för både företag och offentliga organisationer. Här går vi igenom vad direktivet innebär, varför det är viktigt och hur man praktiskt kan förbereda sig.

Från NIS till NIS2 – varför en uppdatering?

Det första NIS-direktivet (2016) var EU:s första gemensamma ramverk för cybersäkerhet. Dess syfte var att säkerställa att operatörer av väsentliga tjänster och leverantörer av digitala tjänster hade en grundläggande säkerhetsnivå och att allvarliga incidenter rapporterades.

Trots detta har antalet cyberhot ökat dramatiskt under de senaste åren: ransomware-attacker, statssponsrad cyberkrigföring, attacker mot försörjningskedjor och sabotage mot kritisk infrastruktur. NIS1 ansågs inte längre vara tillräckligt.

NIS2 syftar därför till att:

• Täck fler sektorer och företag – inte bara de mest kritiska samhällsfunktionerna.
• Höj kraven för riskhantering, säkerhetsåtgärder och rapportering av incidenter.
• Create a more uniform application throughout the EU, so that the level of security does not vary between member states.
• Ge myndigheterna större befogenheter att övervaka och ingripa i fall av utebliven efterlevnad.

Vem omfattas av NIS2?

En av de mest betydande förändringarna är att direktivet utvidgar omfattningen av de som omfattas. NIS1 tillämpades främst på energi, transport, finans, hälsovård och digital infrastruktur.

NIS2 lägger till fler sektorer, inklusive:

• Offentlig förvaltning
• Avfallshantering och avloppshantering
• Livsmedelsproduktion och distribution
• Tillverkning av vissa kritiska produkter (t.ex. medicintekniska produkter, läkemedel, kemikalier, elektronik)
• Leverantörer av IT- och cybersäkerhetstjänster

En annan viktig skillnad är att direktivet omfattar alla medelstora och stora företag inom de angivna sektorerna. Små företag (färre än 50 anställda och mindre än 10 miljoner euro i omsättning) är generellt undantagna, men kan omfattas om de anses vara särskilt kritiska.

För Sverige innebär detta att betydligt fler organisationer än tidigare kommer att behöva uppfylla kraven – både offentliga och privata.

Nyckelkrav i NIS2

NIS2 ålägger de berörda parterna ett antal specifika skyldigheter. De viktigaste av dessa är listade nedan:

1. Säkerhetsåtgärder

Organisationer måste genomföra både tekniska och organisatoriska åtgärder för att hantera risker. Dessa kan inkludera:

• Cybersäkerhetsstyrning och riskhantering på ledningsnivå.
• Åtgärder för att förebygga, upptäcka och hantera incidenter.
• Säkerhet i leveranskedjor.
• Säkerhet i nätverk och system, inklusive kryptering och flerfaktorsautentisering.
• Kontinuitets- och återhämtningsplaner vid störningar.

2. Rapportering av incidenter

NIS2 skärper rapporteringskraven:

• Tidig varningsanmälan inom 24 timmar efter det att en incident upptäckts.
• Detaljerad rapport inom 72 timmar.
• En avgörande rapport måste lämnas in inom en månad efter händelsen.

Detta innebär att organisationer behöver etablera rutiner för snabb intern rapportering, analys och kommunikation med myndigheter.

3. Ledningsansvar

En viktig förändring är att företagsledningen och styrelserna ges ett uttryckligt ansvar för att säkerställa att organisationen följer kraven. De måste:

• Godkänn säkerhetsåtgärderna.
• Delta i utbildning i cybersäkerhet.
• Hållas personligen ansvarig för allvarliga brister.

4. Reglerande tillsyn och sanktioner

Varje medlemsstat ska utse tillsynsmyndigheter med befogenhet att:

• Genomför revisioner och inspektioner.
• Begär information och bevis på efterlevnad.
• Utfärda bindande instruktioner.
• Utfärda böter för icke-efterlevnad.

Sanktionsnivån är hög – upp till 10 miljoner euro eller 2% av den globala årsomsättningen för de allvarligaste överträdelserna.

Hur kommer svenska företag och organisationer att påverkas?

I Sverige pågår för närvarande arbete med att utveckla en ny cybersäkerhetslag för att ersätta den tidigare NIS-lagen. Det förväntas träda i kraft senast hösten 2024.

För svenska skådespelare innebär detta att de behöver:

• Avgör om de är täckta
  • Organisationer måste avgöra om de tillhör de sektorer och storleksklasser som omfattas av NIS2.

• Stärk styrning och ledning
  • Ledningen behöver utbildas i cybersäkerhet och integrera frågan i organisationens övergripande riskhantering.
• Genomför gap-analyser
  • Hur väl uppfyller nuvarande säkerhetsåtgärder kraven i NIS2? Var finns bristerna?
• Bygg robusta rutiner för incidentrapportering
  • Processer behövs för att upptäcka, analysera och rapportera incidenter på ett snabbt sätt.
• Säkra leveranskedjan
  • Eftersom många cyberhot sprids genom underleverantörer måste organisationer också ställa krav på sina partners.

Möjligheter med NIS2

Det är lätt att se NIS2 enbart som en börda med ökade kostnader och administrativt arbete. Men direktivet kan också ses som en möjlighet:

• Ökad konkurrenskraft: Företag som kan uppvisa hög cybersäkerhet blir mer attraktiva för kunder och partners.
• Stärkt förtroende: Att kunna garantera säker hantering av data och system bygger förtroende.
• Förbättrad motståndskraft: Investeringar i säkerhet minskar risken för kostsamma avbrott, dataintrång och skador på varumärket.
• Standardisering: Genom att harmonisera reglerna ger EU företag som verkar i flera länder en tydligare och mer enhetlig spelplan.

Utmaningar längs vägen

Det finns dock verkliga utmaningar:

• Komplexitet: Många organisationer idag saknar en tydlig bild av sina digitala tillgångar och risker.
• Kompetensbrist: Det råder brist på cybersäkerhetsexperter, både inom den privata och offentliga sektorn.
• Kostnader: Investeringar i system, processer och utbildning kan vara betydande, särskilt för medelstora företag.
• Kulturell förändring: Cybersäkerhet måste bli en naturlig del av hela organisationen – inte bara IT-avdelningens ansvar.

Vad bör företag göra nu?

För att vara väl förberedda inför NIS2 bör svenska företag och organisationer redan göra följande:

• Tillsätt en projektgrupp ansvarig för efterlevnad av NIS2.
• Utbilda styrelsen och ledningen i de nya kraven och riskerna.
• Genomför en statusanalys av informationssäkerhet och riskhantering.
• Inför förfaranden för incidenthantering och öva på scenarier.
• Engagera leverantörer och säkerställ att de uppfyller rimliga säkerhetskrav.

Rekommenderade kurser på AVC

För att hjälpa er organisation att uppfylla de nya kraven enligt NIS2 rekommenderar vi två skräddarsydda e-läroprogram:

• SecurityLearn® NIS2 Essentials – En e-lärningskurs som ger en grundläggande förståelse för cybersäkerhetsrisker och efterlevnadsförpliktelserna som beskrivs i artikel 20 i NIS2-direktivet. Avsedd för icke-teknisk personal, bygger den medvetenhet och främjar en säkerhetskultur inom organisationen.
• Certifierad NIS2 (CNIS2) – En e-Learning-kurs för chefer, specialister och yrkesverksamma som ansvarar för att genomföra och upprätthålla NIS2-efterlevnad. Denna avancerade utbildning överbryggar klyftan mellan bästa praxis inom cybersäkerhet och organisatorisk styrning, och ger deltagarna färdigheter för att hantera risker, adressera incidenter och säkerställa efterlevnad.

Båda kurserna levereras online, på engelska, och inkluderar certifiering. De förser dig med kunskapen och verktygen du behöver för att uppfylla de nya direktivens krav.

Slutsats

NIS2 markerar en ny era för cybersäkerhet i Europa. Medan GDPR fokuserade på dataskydd och individuell integritet, fokuserar NIS2 på robusthet och motståndskraft över hela den digitala infrastrukturen.

För svenska företag och organisationer är budskapet tydligt: cybersäkerhet är inte längre en fråga för specialister inom IT-avdelningen – det är en strategisk ledningsfråga med juridiska, finansiella och förtroendemässiga konsekvenser.

Att vänta på att den nya lagen träder i kraft kan bli kostsamt. Men att agera i tid kan göra skillnaden mellan att se NIS2 som en tung regulatorisk börda – eller som en möjlighet att stärka ditt företag inför framtiden.

Källor

• Regeringen. Nya regler om cybersäkerhet SOU 2024:18 – Delbetänkande av Utredningen om genomförande av NIS2- och CER-direktiven. Stockholm: Statens offentliga utredningar, 05 mars 2024. regeringen.se
• Europeiska kommissionen. Direktiv (EU) 2022/2555 om åtgärder för en hög gemensam nivå av cybersäkerhet inom unionen (NIS2-direktivet). Europeiska unionens officiella tidning, 27 december 2022. eur-lex.europa.eu
• ENISA – Europeiska unionens byrå för cybersäkerhet. NIS2-direktivet: Översikt och viktiga resurser. enisa.europa.eu