Vad kräver NIS2 av oss?
KORT SVAR
NIS2 är ett EU-direktiv som i Sverige genomförs genom cybersäkerhetslagen. Det ställer krav på att ledningen tar ansvar för cybersäkerhetsarbetet, att ni arbetar riskbaserat med ett antal utpekade åtgärder, att allvarliga incidenter rapporteras till tillsynsmyndigheten inom givna tidsgränser, och att säkerheten testas och utvärderas löpande.
Kraven är formulerade som vad som ska uppnås, inte exakt hur. Det innebär att ni behöver kunna visa att era åtgärder är rimliga i förhållande till er risk — och att ni har underlag som styrker det.
Vem omfattas?
NIS2 delar in verksamheter i väsentliga och viktiga entiteter. Sektorerna omfattar bland annat energi, transport, bank och finans, hälso- och sjukvård, dricksvatten och avlopp, digital infrastruktur, offentlig förvaltning, rymd, post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning.
Storlek spelar roll: reglerna riktar sig i första hand mot medelstora och stora organisationer, men mindre aktörer kan omfattas om de är kritiska för en sektor. Skillnaden mellan väsentlig och viktig entitet ligger framför allt i hur tillsynen utövas — kraven på säkerhetsåtgärder är desamma.
Även om ni inte omfattas direkt kan kraven nå er som underleverantör. Leverantörskedjan är en uttalad del av regelverket, och kunder som omfattas ställer i praktiken kraven vidare i avtal.
Vilka åtgärder krävs?
- Riskanalys och policyer för informationssäkerhet.
- Incidenthantering: upptäcka, hantera och rapportera.
- Kontinuitetshantering, inklusive backup och katastrofåterställning.
- Säkerhet i leverantörskedjan och krav på era leverantörer.
- Säkerhet vid anskaffning, utveckling och underhåll av system, inklusive hantering av sårbarheter.
- Rutiner för att utvärdera om åtgärderna faktiskt fungerar.
- Utbildning och grundläggande cyberhygien.
- Kryptering och policy för användning av kryptografi.
- Personalsäkerhet, åtkomststyrning och hantering av tillgångar.
- Multifaktorautentisering och säker kommunikation.
Incidentrapportering
Vid en betydande incident gäller en tidig varning inom 24 timmar, en incidentanmälan med en första bedömning inom 72 timmar, och en slutrapport inom en månad. För att klara det behöver ni veta i förväg vem som larmar, vad som räknas som betydande och var underlaget finns.
Ledningens ansvar
NIS2 pekar uttryckligen ut ledningen. Ledningsorganet ska godkänna säkerhetsåtgärderna, följa upp dem och ha tillräcklig kunskap för att kunna bedöma riskerna. Det är alltså inte längre en fråga som kan lämnas helt till IT-avdelningen.
Var testning kommer in
Kravet på att utvärdera om åtgärderna fungerar är den punkt där penetrationstest blir konkret. Ett test visar om skyddet håller i praktiken och ger dokumenterat underlag på att ni har kontrollerat det — inte bara beskrivit det i en policy.
En rimlig utgångspunkt är ett test per år av det som är mest affärskritiskt, plus test vid större förändringar och ett omtest efter åtgärd.
Första stegen
- Avgör om ni omfattas, och i vilken kategori.
- Gör en gapanalys mot de utpekade åtgärderna och dokumentera nuläget.
- Sätt en rapporteringsrutin som klarar 24- och 72-timmarsgränserna.
- Förankra ansvaret i ledningen och lägg in uppföljning i årshjulet.
- Testa det som är mest kritiskt och åtgärda efter prioritet.