NIS2 för svenska företag – vad som faktiskt krävs av er

NIS2-direktivet (EU 2022/2555) ersätter det första NIS-direktivet och vidgar kretsen av verksamheter som måste leva upp till uttalade cybersäkerhetskrav. Kort version: fler företag omfattas, kraven är mer konkreta och ansvaret flyttas upp till ledningen.

Här är vad regleringen innebär i praktiken — och var ni bör börja.

Omfattas ni?

Två frågor avgör: vilken sektor ni verkar i och hur stora ni är.

Sektorerna delas i praktiken i två grupper. Den ena omfattar bland annat energi, transport, bank och finansmarknad, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster och rymden. Den andra omfattar bland annat post- och kurirverksamhet, avfallshantering, kemikalier, livsmedel, tillverkning, digitala leverantörer och forskning.

Storleksmässigt utgår regelverket i huvudsak från medelstora och stora företag — men det finns viktiga undantag. Vissa verksamheter omfattas oavsett storlek, till exempel kvalificerade betrodda tjänsteleverantörer, leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster och centrala DNS-tjänsteleverantörer. Även mindre företag kan omfattas om de är ensam leverantör av en tjänst som är kritisk för samhället.

Slutsatsen: gör en dokumenterad bedömning av sektor, storlek och eventuella särregler. Om ni är osäkra, utgå från att ni kan omfattas och verifiera — det är billigare än att upptäcka det vid en tillsyn.

Kraven i sak

NIS2 är inte en checklista med produkter. Det är krav på ett ledningssystem för informationssäkerhet, med följande kärnområden:

• Riskanalys och säkerhetspolicy som är dokumenterad och faktiskt följs.
• Incidenthantering med definierade roller, eskaleringsvägar och övning.
• Driftkontinuitet — backup, återställning och plan för att hålla kritiska funktioner igång.
• Leverantörskedjan — ni ansvarar för säkerheten hos de leverantörer ni anlitar, inte bara er egen.
• Sårbarhetshantering och uppdateringar, inklusive rutin för att hantera kända sårbarheter.
• Multifaktorautentisering och skydd av kommunikation där det är relevant.
• Utbildning för ledning och personal.
• Kryptering där det är ändamålsenligt.

Rapportering är den skarpa deadlinen

Incidentrapporteringen är den del som oftast underskattas, eftersom den har klockan emot sig. En betydande incident ska enligt NIS2 anmälas i flera steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad.

Det innebär i praktiken att ni inte kan uppfinna rutinen när incidenten inträffar. Ni behöver:

1. En definition av vad som är en betydande incident, förankrad i verksamheten.
2. En namngiven person som kan lämna den tidiga varningen — även klockan tre på natten.
3. En mall och en kontaktväg till tillsynsmyndigheten, färdig innan den behövs.
4. Loggning som gör det möjligt att beskriva vad som hänt inom 72 timmar.

Ledningens ansvar

En av de viktigaste förändringarna är att ledningen inte kan delegera bort ansvaret. Ledningen ska godkänna riskhanteringsåtgärderna, övervaka genomförandet och genomgå utbildning i cybersäkerhet. Vid allvarliga överträdelser kan sanktioner riktas mot verksamheten — och i vissa fall mot ledande befattningshavare.

För praktiskt bruk betyder det att NIS2 är en ledningsfråga, inte en IT-fråga. Ett bra första steg är att sätta cyberrisk på dagordningen med en fast punkt: vad är vårt mest kritiska system, vad händer om det står still i 72 timmar, och vem ansvarar?

Var ni bör börja

1. Omfattningsbedömning. Sektor, storlek och särregler — dokumenterat.
2. Gapanalys mot kraven ovan. Var finns policyn, var finns bara intentionen?
3. Incidentrutin först. Den har hårdast deadline och är billigast att fixa.
4. Leverantörslistan. Vilka tredjeparter har åtkomst till era kritiska system, och vilka säkerhetskrav ställer ni på dem i avtal?
5. Ledningsförankring. Beslut, ansvar och utbildning — dokumenterat.

Gör det i den ordningen. Regelverkets krav är i grunden samma arbete som faktiskt minskar risken — skillnaden är att det nu ska vara dokumenterat, ägt och möjligt att visa upp.