NIS2: vad gäller för er – och vad gör man först?

Vad NIS2 är – och varför det inte är ett IT-projekt

NIS2, direktiv (EU) 2022/2555, är EU:s reviderade regelverk för cybersäkerhet och ersätter det tidigare NIS1. Syftet är att höja basnivån i verksamheter som samhället är beroende av och att göra kraven mer enhetliga inom unionen.

Ett direktiv är inte en lag som gäller direkt. Det ska genomföras i nationell lagstiftning, och varje medlemsstat avgör en del detaljer: vilken myndighet som utövar tillsyn, hur sanktioner utformas och vilka kanaler som används för rapportering. Utgå därför från det svenska genomförandet och kontrollera vad som faktiskt gäller för er – formuleringar i direktivet kan ha fått en annan ordalydelse i svensk rätt.

En vanlig missuppfattning är att NIS2 är ett IT-projekt. Det är det inte. Kraven riktar sig till verksamheten och till dess ledning, och handlar minst lika mycket om styrning, ansvar och leverantörer som om teknik.

Omfattas ni? Sektor, storlek och roll i kedjan

Regelverket träffar verksamheter inom ett antal sektorer. Bland dem som nämns finns energi, transport, bank och finans, hälso- och sjukvård, dricksvatten, avlopp, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning och rymden, plus ytterligare några områden. Listan är lång och gränsdragningen kan vara svår – särskilt om ni levererar till någon som omfattas.

Storleken avgör i de flesta fall. Utgångspunkten är medelstora och stora företag, med tröskelvärden kring 50 anställda eller 10 miljoner euro i omsättning. Vissa verksamheter omfattas oavsett storlek, till exempel delar av den offentliga förvaltningen och vissa leverantörer av betrodda tjänster. Direktivet skiljer dessutom på viktiga och särskilt viktiga enheter: båda omfattas av kraven, men de särskilt viktiga står under striktare tillsyn.

Fyra frågor att besvara innan ni planerar något:

• Sektor: verkar ni inom någon av de listade sektorerna, eller i gränslandet till dem?
• Storlek: är ni medelstora eller stora enligt kriterierna – eller omfattas ni oavsett storlek?
• Roll i kedjan: är ni leverantör till en verksamhet som omfattas? Då kommer kraven ofta via avtal, även om lagen inte träffar er direkt.
• Kategori: räknas ni som viktig eller särskilt viktig enhet? Det påverkar tillsyn, dokumentation och rapportering.

Storlekskriterierna utgår från antal anställda och omsättning eller balansomslutning. Kontrollera de exakta trösklarna och undantagen i det svenska genomförandet innan ni drar slutsatser.

Ledningens ansvar – den största förändringen mot NIS1

Det som tydligast skiljer NIS2 från NIS1 är att ansvaret flyttas upp i ledningen. Ledningen ska godkänna de riskhanteringsåtgärder som vidtas, bära ansvar för att de genomförs och följs upp, och i vissa fall genomgå utbildning. Vid överträdelser kan ansvar riktas mot ledningspersoner personligen, vid sidan av sanktioner mot verksamheten.

I praktiken betyder det att NIS2 inte kan delegeras till en säkerhetsfunktion. Ledningen behöver kunna svara på vilka risker som finns, vad som görs åt dem och hur man vet att åtgärderna fungerar. Det är samma frågor en styrelse bör ställa oavsett regelverk – men här står de uttryckligen i lagtexten.

De tio områdena för riskhantering

Riskhanteringsarbetet beskrivs i tio områden. De ska tillämpas proportionerligt mot verksamhetens risker och storlek, och de överlappar i hög grad etablerade ramverk för informationssäkerhet.

Läs tabellen som en karta över områden, inte som en färdig kravlista. Exakt formulering och omfattning avgörs av det svenska genomförandet.

Rapportering: tidig varning, anmälan och slutrapport

Betydande incidenter ska rapporteras i flera steg. Den vanligaste sammanfattningen av direktivets ordning ser ut så här:

Tidsfrister och kanaler kan skilja sig mellan länder och mellan tillsynsområden. Verifiera vad som gäller i Sverige och vilken myndighet ni ska rapportera till – och se till att ni kan rapportera i praktiken, inte bara beskriva rutinen i ett dokument. Notera också likheten med GDPR:s 72-timmarsregel för personuppgiftsincidenter: samma händelse kan behöva hanteras i flera parallella spår.

Vad gör man först? Fem steg i ordning

1. Avgör om ni omfattas – och dokumentera bedömningen. Skriv ner sektor, storlek, roll och vem som fattat beslutet. Även ett nej behöver kunna förklaras senare.
2. Utse en ansvarig och förankra hos ledningen. Tydligt ägarskap, mandat och en fast punkt på ledningens agenda. Utan det stannar arbetet i en presentation.
3. Kartlägg tillgångar, beroenden och leverantörer. Vad är verksamhetskritiskt, vad hänger ihop med vad, och vilka tredje parter kan ni inte vara utan?
4. Få ordning på incidentprocessen. Upptäckt, eskalering, rapportering och kontaktvägar – och öva på den innan ni behöver den.
5. Åtgärda det mest grundläggande. Åtkomst och behörigheter, MFA på de viktigaste kontona, uppdateringar, loggning, fungerande backup och utbildning. Det ger mest effekt per krona.

Bygg ett ledningssystem – NIS2, ISO 27001, GDPR och AI Act

Det finns sällan anledning att bygga separata system för varje regelverk. ISO/IEC 27001 täcker in stora delar av de tio områdena. Har ni ett ledningssystem för informationssäkerhet på plats är gapet mot NIS2 ofta hanterbart: det handlar mer om att koppla befintliga processer till de nya kraven, dokumentera ledningens ansvar och se över leverantörskedjan. Se säkerhetstjänsterna för hur vi brukar lägga upp det arbetet.

GDPR och NIS2 delar flera processer: incidenthantering, åtkomstkontroll, leverantörsavtal och dokumentation. En personuppgiftsincident är inte alltid en NIS2-incident, och tvärtom – men rutinerna kan vara gemensamma. Läs DPIA i praktiken och GDPR och dataskydd.

AI Act lägger till krav på riskhantering, dokumentation och loggning för AI-system. Även där återanvänds mycket av det ni redan gör inom informationssäkerheten. Läs Är ert AI-system ett högrisksystem?

Sammantaget: bygg ett ledningssystem med gemensamma processer och anpassa dem till respektive regelverk, i stället för att driva NIS2 som ett separat projekt vid sidan av allt annat. Vill ni ha hjälp att ringa in omfattning, ansvar och vad som bör göras först, boka ett möte.