Genomför NIS2 compliance check med oss – tryggt och effektivt

Vi hjälper er att möta nya krav och minska risker. Vår metod ger tydlig styrning och praktiska åtgärder för att stärka security i hela er organisation.

Vi kartlägger information, data och åtkomst för att ge ett klart läge över vilka requirements som berör er. Sedan prioriterar vi management-åtgärder som är lätta att genomföra och att mäta.

Tajming är avgörande. Införandedatumet kräver snabba beslut för att undvika kostsamma förseningar. Vi visar hur ni involverar rätt stakeholders och roller i ledning och verksamhet.

Resultatet blir en konkret roadmap, förbättrade controls och tydligare rapportering. Det stärker trust hos kunder och partners och minskar business-störningar.

Med vår struktur täcker vi security, access, data protection och tekniska measures. Ni får också en praktisk checklist för att omsätta skyldigheter till mätbara resultat.

Viktiga slutsatser

• Vi levererar en tydlig bedömning av risk och krav för er organisation.
• Prioriterade åtgärder ger snabbare förbättringar i security.
• Tajming minskar kostnader och minimerar driftstörningar.
• Vi stöttar ledning och stakeholders genom hela processen.
• Leveransen innehåller roadmap, förbättrade kontroller och mätbara resultat.

Varför NIS2 är avgörande nu och framåt

Från och med 17 oktober 2024 gäller striktare regler som påverkar informationssäkerhet och rapportering. Vi ser detta som en vändpunkt för hur viktiga enheter prioriterar skydd av nätverk och data.

Tidslinjen kräver snabba beslut. Nationell lagstiftning skulle vara genomförd till det datumet, vilket betyder planering, implementering och uppföljning måste ske i god tid.

Vad som förändras jämfört med tidigare regler är tydligt: fler sektorer omfattas, krav på kryptering och multi‑factor authentication skärps, och incidentrapportering har kortare fönster: föranmälan inom 24 timmar och uppföljning inom 72 timmar.

Område	Före	Nu	Praktisk effekt
Omfattning	Färre sektorer	Post, avfall, tillverkning m.fl.	Fler organisationer behöver åtgärder
Säkerhetskrav	Grundläggande	Kryptering, MFA, hårdare controls	Minskade cyber‑threats
Tillsyn & sanktioner	Begränsade	Högre befogenheter, upp till 10 M€ eller 2%	Starkare incitament för styrning

Vi kopplar dessa krav till etablerade standards för att göra tolkning och implementation enklare. Det ger ledning bättre riskhantering och ökad mätbarhet i informations‑ och security‑arbete.

Är din organisation omfattad av NIS2?

Vi går igenom era tjänster och dataflöden mot lagens artiklar och bilagor för att fastställa omfattning.

Kontroll mot Artikel 2, Bilaga I och Bilaga II

För att avgöra om ni omfattas ser vi till Artikel 2 och identifierar kvalificerade betrodda tjänster. Därefter granskar vi Bilaga I och Bilaga II för sektorer och verksamheter som listas.

• Vi guidar er steg för steg genom självkontrollen mot Artikel 2, Bilaga I och Bilaga II.
• Vi konkretiserar exempel: elnät, dricksvatten, vård, digital infrastruktur, post, avfall, tillverkning och forskning.
• Vi visar hur information systems och tjänster kartläggs för att fastställa gränssnitt och aktiva providers.
• Vi förklarar hur data om storlek och omsättning påverkar klassning mellan essential entities och important entities.
• Vi hjälper er identifiera service providers och kritiska providers i er värdekedja och bedömer de aktiva risks och security‑krav.

Vill ni ha en snabb vägledning? Läs mer om direktivet via vår rekommenderade länk: vad direktivet omfattar.

Viktiga och väsentliga enheter: klassning och tillsyn

Vi förklarar hur klassning av enheter påverkar riskbilden och tillsynens omfattning. Kategorin avgör vilka krav som prioriteras, vilken nivå på dokumentation som krävs och vilken myndighetskontakt som kan väntas.

Storlek kontra kritikalitet enligt direktivet

Kvalificerade betrodda tjänster och offentliga elektroniska kommunikationsnät är väsentliga oavsett storlek. För sektorer i Bilaga I avgörs klassning ofta av >250 anställda eller >50 M€ i omsättning.

Ex-post kontra ad-hoc tillsyn och praktiska effekter

Important entities omfattas vanligtvis av ex-post tillsyn, det vill säga granskning efter indikation på brist. Essential entities kan inspekteras ad hoc på plats utan föregående varning.

• Kriterier: storlek, omsättning och kritikalitet enligt directive.
• Tillsyn: ex-post för viktiga och ad-hoc för väsentliga entities.
• Praktiska effekter: ökad dokumentation, bättre processmognad och starkare interna control.
• Audits: vanliga informationskrav inkluderar bevis på measures, obligations och mätbara resultat.
• Management: planering av resurser och dialog med kunder och partners minskar risks för ert business.

Kategori	Kriterier	Tillsyn
Essential entities	Kvalificerade tjänster eller offentliga nät; kritikalitet oberoende av storlek	Ad-hoc inspektioner, platsbesök utan förvarning
Important entities	Bilaga I-sektorer; ofta >250 anställda eller >50 M€ omsättning	Ex-post granskning vid indikation eller rapporterad brist
Gemensamt krav	Samtliga måste uppfylla samma regelsats för measures och information	Olika granskningsnivå men samma obligations mot myndigheter

Skyldigheter, sanktioner och rapporteringskrav i korthet

Här summerar vi de viktigaste skyldigheterna, sanktionerna och rapporteringsfristerna som påverkar er verksamhet.

Direktivet kräver riskbaserade säkerhetsåtgärder och stärkt incidenthantering. Vi ser till att organisationens tekniska och organisatoriska kontroller täcker kryptering, multifaktorautentisering och leverantörssäkerhet.

Rapporteringstiderna är tydliga: föranmälan inom 24 timmar, uppföljning inom 72 timmar och slutrapport inom 30 dagar. Sanktioner kan bli höga — upp till 10 M€ eller 2% av global omsättning — vilket ställer krav på snabba åtgärder och dokumentation.

• Kärnkrav: riskhantering, incidentprocesser, tekniska kontroller och löpande loggning.
• Dataskydd: tillämpad kryptering och spårbarhet av personuppgifter.
• Avtal: skyldigheter med leverantör och kund måste speglas i serviceavtal.
• Stöd: utbildning, övningar och mätetal för att säkra varaktig compliance.

Ämne	Kort	Effekt
Rapportering	24h / 72h / 30d	Snabbare beslut, bättre koordinering
Sanktioner	10 M€ eller 2%	Ekonomisk risk vid brist
Minimikrav	MFA, åtkomstkontroll, loggning	Minskar vanliga säkerhetsbrister

Praktisk råd: Börja med en prioriterad åtgärdslista som tar itu med loggning, MFA och leverantörsavtal. Använd erkända standarder för att tolka otydliga regler och minska regelrisk.

Checklist: Styrning och ansvar

En tydlig styrningsmodell skapar förutsättningar för att ansvar för security och rapportering blir operativt. Vi hjälper er att definiera roller, mandat och beslutsvägar så att ledningen aktivt kan styra risker.

Roller, ansvar och ledningens involvering

Vi fastställer tydliga ägare för processer och åtgärder. Det gör att incidentsvar och förändringsbeslut blir snabba och spårbara.

Riskaptit, mål och rapportering till styrelse

Vi sätter riskaptit och KPI:er som kopplas till mål i styrelsens rapportering. Detta säkerställer att information och reporting når rätt nivå vid rätt tid.

Intern kontroll och oberoende granskningar

Intern kontroll och periodiska oberoende granskningar skapar förtroende och trust både internt och externt. Vi dokumenterar kontrollpunkter och ansvar för att underlätta audits.

• Styrningsmodell: roller, mandat och stakeholders.
• Access-principer: access och access control i beslutsvägar.
• Training: målgruppsanpassad utbildning för ledning och processägare.
• Rapportering: rutiner till styrelse och ledning för spårbar reporting.

Ämne	Vad vi levererar	Effekt för organisation
Roller & ansvar	Styrningsmodell med ägare och mandat	Snabbare beslut, tydligare management
Riskaptit & mål	KPI:er och rapportmallar	Styrelserapportering med spårbarhet
Intern kontroll	Checklist-drivna granskningar	Förutsägbara audits och ökat trust

Checklist: Riskhantering och leverantörskedja

Vi hjälper er att bygga ett handfast ramverk för riskhantering som inkluderar hela leverantörskedjan. Målet är att minska verksamhetspåverkan genom tydliga åtgärder, prioriteringar och spårbar uppföljning.

Identifiering av hot, sårbarheter och verksamhetsrisker

Vi skapar ett riskregister som fångar hot, sårbarheter och effekter på verksamheten. Registeret kopplas till information och dataflöden för att visa var sannolikhet och konsekvens sammanfaller.

Resultat: en prioriterad lista med ägarskap, tidslinjer och konkreta measures för att minska risk.

Supply chain-security och tredjepartsrisker

Vi kartlägger kritiska providers och service providers, deras gränssnitt och åtkomstpunkter.

Bedömning av vendor‑risk innefattar loggning, åtkomstkontroll och kontraktskrav. Detta minskar cyber‑hot mot leverantörer och fjärranslutna system.

Åtgärdsplaner, uppföljning och förbättring

Åtgärdsplaner prioriteras efter business‑påverkan och resurstilldelning. Vi etablerar indikatorer och rapporter till ledning samt förbereder underlag för audits.

Kontrollpunkter inför driftsättning säkerställer verifiering före förändring. Vi planerar även training för inköp och kontraktsägare så att riskprocessen stödjer verksamhetsmål.

Steg	Vad vi levererar	Effekt
Riskregister	Hot, sårbarheter, konsekvens och ägare	Tydlig prioritering av risks
Leverantörskartläggning	Lista över providers och service providers med gränssnitt	Bättre kontroll av tredjepartsrisk
Åtgärdsplan	Measures, tidslinje, resurser och verifiering	Snabbare hantering och minskad business‑störning
Uppföljning & audits	Indikatorer, rapporter och evidens	Spårbarhet vid granskning

Checklist: Policyramverk och processer

Vi etablerar praktiska riktlinjer för åtkomst, kryptografi och incidenthantering som fungerar i vardagen. Policys ska vara dokumenterade, versionsstyrda och genomgå årlig översyn för att möta nya security requirements.

Åtkomst- och behörighetsstyrning

Vi definierar access control, provisioning och deprovisioning. Periodiska recertifieringar säkerställer att rätt personer har åtkomst till rätt information och data.

Kryptering och kryptografipolicy

Vi fastställer encryption-principer, algoritmer och nyckelhantering. Policies beskriver hantering av incidenter kopplade till kryptografi och spårbarhet för nycklar.

Incidenthantering och rapporterings-SLA

Vi beskriver en incidentprocess med tydliga SLA:er för upptäckt, triage, åtgärd och reporting. Mätbara åtgärder och ägarskap säkerställer snabba beslut vid business‑påverkan.

Riskhanteringspolicy och kontinuitetspolicy

Riskpolicy kopplas till kontinuitetsplaner med mål, ansvar och återkommande tester. Policies ska relatera till standards och ge stöd för ledningens management.

• Komplett ramverk: krav och styrande principer, versionerat och granskat årligen.
• Mätbarhet: kontroller, ägarskap och verifiering mot standards.
• Training: koppling till utbildning så att riktlinjer efterlevs i vardagliga processer.

”Årlig översyn och tydligt ägarskap är avgörande för att policys ska ge verklig effekt.”

Policyområde	Huvudleverans	Granskningsfrekvens
Åtkomst & behörighet	Access control, provisioning, recertifiering	Årligen eller vid förändring
Kryptografi	Algoritmer, nyckelhantering, incidentrutiner	Årligen och vid teknisk förändring
Incident & rapportering	SLA:er, roller, reporting-mallar	Kvartalsvis övning, årlig genomgång
Risk & kontinuitet	Riskpolicy, BCP, testplan	Årligen och efter större riskhändelser

Checklist: Tekniska och operativa säkerhetsåtgärder

Vi hjälper er att bygga ett tekniskt försvar som är lätt att mäta och styra. Fokus ligger på åtgärder som minskar risker för affärskritiska tjänster och ger snabb effekt.

Multi‑factor authentication och privilegierad åtkomst

Vi inför multi-factor authentication för privilegierade konton, fjärråtkomst och kritiska system. Samtidigt stärker vi access med principen om minsta behörighet och just‑in‑time-åtkomst.

Nätverkssäkerhet, övervakning och detektion

Vi säkrar nätverk genom segmentering, IDS/IPS och kontinuerlig trafikövervakning. Vi etablerar SIEM och UEBA för korrelation, detektion och snabb respons mot threats.

Kryptering av data i vila och under överföring

Vi implementerar encryption för data i vila och rörelse med korrekt nyckelhantering. Detta minskar risken för obehörig åtkomst till känslig information.

Hårdnande av plattformar, loggning och UEBA/SIEM

Vi hårdnar plattformar genom baselines och automatiserade kontroller. Regelbundna sårbarhetsskanningar och penetrationstester validerar skyddet mot intrång.

Sammanfattning: Vi definierar tekniska krav och mätetal som rapporteras till ledning. All dokumentation av kontroller och undantag stödjer era compliance-mål.

Åtgärd	Vad vi levererar	Effekt
Multi‑factor authentication	MFA för admin, fjärråtkomst och kritiska system	Minskad risk för kontoövertagande
Access & access control	Minsta behörighet, JIT, recertifiering	Tydlig styrning av åtkomst
Övervakning	SIEM/UEBA, loggning, IDS/IPS	Snabb upptäckt och respons mot threats
Kryptering & platform	Encryption, nyckelhantering, baseline‑hårdnande	Skydd av data och stabilare platform
Validering	Sårbarhetsskanningar och pentester	Verifierat försvar och lägre business‑risk

Business Continuity och Disaster Recovery

Vi säkerställer att er kontinuitetsplan speglar verksamhetens verkliga krav och skyddar kritiska tjänster vid driftstörningar.

Proaktiv riskhantering innebär definierade RTO och RPO för system och processer. Detta avgör hur snabbt vi måste återställa tjänster för att minimera affärspåverkan.

RTO/RPO, backupstrategier och återställningstester

Vi fastställer RTO/RPO utifrån verksamhetens prioritet och återställer data med isolerade backups som har tydlig retention. Regelbundna tester verifierar att återställning fungerar i praktiken.

Vi designar backupstrategier med offsite-kopior och verifierad integritet. Tester körs scenariobaserat för att mäta faktiska tider och förbättra planen löpande.

Kontinuitet för kritiska tjänster och leverantörer

Vi kartlägger beroenden till kritiska providers och services och bygger in redundans för att säkra drift vid avbrott. Leverantörers återhämtningsförmåga ingår i våra riskanalyser.

Vi definierar measures som alternativ kapacitet, prioriterad access till resurser och tydliga handlingsplaner för olika avbrottsscenarion.

• RTO/RPO definieras per kritisk process och system.
• Backupstrategier med isolerade kopior och retention.
• Scenariotester för att mäta beredskap och iterativ förbättring.
• Kartläggning av providers och inbyggd redundans.
• Kontinuitet integreras i ledningens agenda med regelbundna övningar.

”En testad återhämtningsplan är en av de mest kostnadseffektiva åtgärderna för att minska affärsrisk.”

Vi verifierar också att lösningarna harmoniserar med regelverk och era interna policys. För mer om praktiska steg och vägledning, se vår artikel om nyckelfaktorer för trygg implementation.

Incidentrespons och rapportering till CSIRT

En snabb och tydlig incidentrapportering minskar skada och underlättar beslutsfattande i hela organisationen.

Föranmälan inom 24 timmar: syfte och innehåll

Föranmälan inom 24 timmar ska ge en första bild av händelsen: möjlig orsak, berörda system, initial påverkan på data och tjänster samt kontaktpersoner.

Vi beskriver format, obligatoriska fält och vilken evidens som krävs för att rapporten ska vara spårbar och användbar för CSIRT.

Uppföljning inom 72 timmar: allvarlighetsgrad och indikatorer

Inom 72 timmar levererar vi en uppdatering med allvarlighetsbedömning, tekniska indikatorer och förändrad påverkan på business.

Här ska management godkänna rubriker, ansvarsfördelning och beslut om access till vidare data för analys.

Interim- och slutrapporter: 30 dagar och vidare

Vi etablerar rutinen för interimsrapporter vid behov samt slutrapport inom 30 dagar. Om incidenten pågår krävs progressrapport och därefter slutrapport en månad efter avslut.

• Vi bygger en IRP som uppfyller directive‑krav och tidsfönster mot CSIRT.
• Vi specificerar innehåll för 24h‑föranmälan och 72h‑uppföljning med spårbara källor.
• Vi dokumenterar requirements för loggning, evidens och rapportinnehåll.
• Vi tränar personal och testar reporting‑flöden i övningar för bättre management och control.

Rapporttyp	Tidsram	Huvudinnehåll
Föranmälan	24 timmar	Möjlig orsak, berörda system, kontaktperson
Uppföljning	72 timmar	Allvarlighetsgrad, indikatorer, påverkan på business
Interim/Progress	Löpande	Ny status, åtgärder, beslutsvägar
Slutrapport	30 dagar (eller 30d efter avslut)	Detaljer, bevis, förbättringsåtgärder och gränsöverskridande påverkan

”Snabb reporting och tydliga krav på information gör incidenthanteringen effektiv och minskar återstående risks.”

Utbildning och medvetandegörande i hela organisationen

Vi utformar ett training‑program som stärker employees i vardagens säkerhetsarbete. Programmet fokuserar på basala hygienåtgärder, skydd mot social ingenjörskonst och praktisk incidentmedvetenhet.

Rollbaserad träning ger specialiserade moment för de som hanterar känslig information och personal data. Det gör att rätt personer får fördjupad utbildning enligt krav.

Basala hygienåtgärder och rollbaserad träning

Rekommenderad frekvens: minst årligen och vid större förändringar eller efter incidenter. Vi spårar genomförande och använder kunskapskontroller för att mäta effekt.

• Program för grundläggande hygien och rollspecifika behov.
• Skydd mot phishing och social ingenjörskonst samt lösenordspraxis.
• Säker hantering av information, data och personal data.
• Integration i onboarding och förändringsprojekt samt ansvar i management.
• Återkoppling från incidenter in i framtida modules.

”Utbildning kopplad till policyer och mätbara mål gör att organisationen blir mer motståndskraftig mot cyber‑hot.”

Ämne	Vad vi levererar	Effekt
Grundläggande training	Korta moduler, phishing‑tester	Minskad mänsklig risk
Rollbaserad träning	Fördjupning för nyckelroller	Bättre access‑styrning
Mätning & uppföljning	Kunskapstester och rapporter	Spårbarhet för management

Dokumentation, bevisföring och spårbarhet

Vi organiserar dokumentation så att information och data blir sökbar, spårbar och redo för rapportering. Det gör att ledning och auditors snabbt får en korrekt bild vid incidentsvar eller revision.

Riskanalyser, incidentloggar och åtkomstregister

Vi upprättar register för riskanalyser, incidentloggar och åtkomst så att varje händelse får ägare och tidsstämpel. Detta skapar kontroll över förändringshistorik och stödjer rapportering till myndigheter och stakeholders.

Integritet för personal data prioriteras i lagring och åtkomst, och vi sätter roller för vem som får se vilken information.

Automatisering av evidensinsamling och rapporter

Genom plattformsintegrationer automatiserar vi insamling av loggar och utbildningsregister. Det minskar manuell börda och ger konsekventa bevis som kan korsmappas mot ISO och andra standards.

Vi levererar dashboards till management och stakeholders för kontinuerlig översikt av security‑status och kravhantering.

• Dokumentkrav: arkitektur för spårbar bevisföring.
• Register: risk, incident, åtkomst och förändring.
• Automatisering: platform‑integrationer för snabbare audits och reporting.
• Övergripande: hantering av personal data och korsmappning mot andra ramverk för multi‑compliance.

Leverantörer, tjänsteleverantörer och plattformar

Genom att styra avtal och tekniska krav minimerar vi osäkerheter i leverantörskedjan. Vi fokuserar på praktiska åtgärder som skyddar er information och data i hela värdekedjan.

Kravställning, avtal och efterlevnadskontroller

Vi specificerar säkerhetskrav i avtal för loggning, rapportering, åtkomst och rätt till audits hos vendor. Avtalen innehåller även sanktioner vid bristande efterlevnad.

Vi kartlägger providers och service providers och klassar deras kritikalitet utifrån affärspåverkan. Detta hjälper oss prioritera due diligence och uppföljning.

• Due diligence och onboarding med återkommande kontroller för varje provider.
• Krav på encryption, åtkomstkrav och incidentrutiner i leverantörers miljöer.
• KPI:er, SLA:er och revisionsplaner inklusive stickprov och audits.
• Strukturerad informationsdelning och dataskydd mellan parter.
• Utbildning för employees och inköp i säkra avtal och leverantörsstyrning.

”Tydliga avtal och regelbundna revisioner bygger trust mot kunder och partners.”

Åtgärd	Vad vi levererar	Effekt
Avtal & krav	Säkerhetsklasuler, audit‑rätt, sanktioner	Ökad tydlighet och styrning
Onboarding & uppföljning	Due diligence, klassning, stickprov	Löpande kontroll av vendors
Mätning	KPI, SLA, rapportering	Förutsägbar leveranskvalitet

Harmonisering med standarder och förberedelse för audits

Vår metod korsrefererar era åtgärder mot standards så att auditors snabbt hittar relevant evidens. Det gör revisioner mer förutsägbara och minskar störningar i verksamheten.

ISO/IEC 27001, NIST, CIS Controls och mappning

Vi mappar tekniska krav till ISO/IEC 27001, NIST och CIS Controls. Detta möjliggör automatiserad korsmappning av information och data. Resultatet blir ett evidenspaket som fungerar vid audits.

Interna kontroller och externa revisioner

Vi identifierar gap och definierar interna control som tål extern granskning. Vi tar fram en enkel checklist för revision: roller, tidplan, provurval och åtgärder.

• Automatiserad insamling av bevis för bättre spårbarhet.
• Modellering av riskreducering kopplat till multi-factor authentication och encryption.
• Inkludering av providers i beviskedjan för att säkra data protection.
• Plan för löpande förbättring mellan audits och regulatoriska förändringar.

”Genom harmoniserade kontroller blir både management och auditors tryggare i bedömningen.”

NIS2 compliance check: så genomför vi en trygg och effektiv genomlysning

Vi startar med en snabb nulägesanalys för att synliggöra gap mot krav och skapa ett tydligt beslutsunderlag. Resultatet blir en prioriterad åtgärdslista och en tidsatt roadmap som visar vad som levereras när.

Gap‑analys, prioriterad åtgärdsplan och tidsatt roadmap

Vi bedömer risk, affärsnytta och teknisk komplexitet. Därefter prioriterar vi åtgärder så att business påverkas minimalt.

Leveransen innehåller strukturera checklistor, konkreta measures och en tidslinje med ansvariga management‑roller.

Kontinuerlig uppföljning, rapportering och stakeholder‑stöd

Vi sätter upp mätetal, dashboards och rapporteringsrutiner för löpande uppföljning. Plattformsstöd och integrationer samlar data och evidens automatiskt.

• Workshops med stakeholders för beslut och förankring.
• Verifiering av kontroller, tester och ägarskap.
• Överlämning och utbildning för hållbar intern drift.

”Strukturerade checklistor och automation minskar osäkerhet och påskyndar arbetet.”

Slutsats

Slutsats

I praktiken handlar det om att omvandla regelverk till styrbara åtgärder som skyddar era affärskritiska service och data.

En strukturerad metod ger ledning och stakeholders tydliga prioriteter. Det skapar varaktig security, minskar risks och bygger trust hos kunder och partners.

Genom att använda etablerade standards och dokumenterad bevisföring får organisationer mätbara vinster: färre incidenter, robustare measures och bättre revisionsutfall.

Ag er i rätt tid och följ upp kontinuerligt. Boka er NIS2 compliance check med oss så stödjer vi management och team genom varje iteration och säkerställer rapportering, uppföljning och förbättring över time.

FAQ

Vad ingår i vår genomlysning när vi erbjuder en genomför NIS2 compliance check med oss – tryggt och effektivt?

Vi gör en helhetsbedömning som omfattar gap‑analys mot direktivet, riskbedömningar, leverantörsgranskning, tekniska kontroller och styrningsprocesser. Vi levererar en prioriterad åtgärdsplan och en tidsatt roadmap för implementation samt stöd vid uppföljning och revisioner.

Varför är denna lagstiftning avgörande nu och framåt för vår verksamhet?

Den skärpta regleringen höjer kraven på säkerhet i kritiska informationssystem, inklusive rapportering av incidenter och hantering av tredjepartsrisker. Att agera tidigt minskar driftstopp, skyddar personuppgifter och minimerar juridiska och ekonomiska konsekvenser.

Hur avgör vi om vår organisation omfattas enligt Artikel 2, Bilaga I och Bilaga II?

Vi kartlägger verksamhetens sektor, tjänster och kritikalitet samt jämför mot listade verksamheter och tröskelvärden. Storlek, beroende på infrastruktur och samhällsviktig funktion, avgör om ni klassas som viktig eller väsentlig enhet.

Vilka sektorer och tjänster ligger typiskt inom räckvidd?

Exempelvis energi, transport, bank och finans, hälso- och sjukvård, digital infrastruktur samt leverantörer av viktiga moln‑ och plattformstjänster. Vi hjälper er identifiera var just er tjänst placeras.

Hur påverkar storlek kontra kritikalitet vår klassning och tillsyn?

Mindre aktörer med hög kritikalitet kan omfattas trots begränsad personalstyrka. Tillsynsmyndigheter prioriterar enheter som kan orsaka stor påverkan på samhällsviktiga funktioner, oavsett storlek.

Vad innebär ex‑post respektive ad‑hoc tillsyn i praktiken?

Ex‑post tillsyn sker efter en incident eller rapport, medan ad‑hoc inspektioner kan initieras plötsligt av myndigheter. Båda kräver god dokumentation, snabba svarsrutiner och tydliga internprocesser.

Vilka grundläggande skyldigheter, sanktioner och rapporteringskrav bör vi känna till?

Ni måste ha dokumenterade säkerhetsåtgärder, incidentrapportering inom fastställda tidsramar och kontinuerlig riskhantering. Underlåtenhet kan leda till administrativa sanktioner och krav på förbättringsplaner.

Hur organiserar vi styrning och ansvar för att möta kraven?

Vi rekommenderar tydliga roller, ansvarsfördelning i ledningen, regelbunden rapportering till styrelse samt etablerade rutiner för intern kontroll och oberoende granskningar.

Hur kopplar vi riskaptit och mål till styrelsens rapportering?

Fastställ mätbara riskmål och toleranser, integrera dem i styrelsens rapporter och håll regelbundna avstämningar för att säkerställa att strategiska beslut stödjer säkerhetsmålen.

Vilka rutiner för leverantörskedjan är nödvändiga för att minska tredjepartsrisker?

Vi ser till att avtal innehåller säkerhetskrav, att leverantörer granskas och att kontinuerlig övervakning och tester av leverantörers säkerhet utförs. Leverantörsbedömningar bör ingå i riskregister och uppföljas.

Hur bygger vi effektiva åtgärdsplaner och säkerställer uppföljning?

Prioritera åtgärder efter risknivå, definiera ansvariga, tidsramar och mätvärden. Vi rekommenderar regelbundna statusmöten och automatiserade verktyg för spårning och rapportering.

Vilka policys och processer måste finnas på plats för åtkomst- och behörighetsstyrning?

Ni behöver en policy för rollbaserad åtkomst, rutiner för privilegiehantering, regelbunden åtkomstgranskning och processer för snabb avaktivering vid förändringar av personal eller roller.

Hur ska vi hantera kryptering och kryptografipolicy för att skydda data?

Implementera kryptering för data i vila och under överföring, definiera nyckelhanteringsrutiner och säkerställ att algoritmer och nyckellängder uppfyller etablerade standarder.

Vilka krav bör vi ställa på incidenthantering och rapporterings‑SLA?

Fastställ tidsramar för upptäckt, föranmälan och fullständig rapport. Definiera roller i incidentteamet, kommunikationsplaner och övningar för att säkerställa snabb och korrekt hantering.

Vad ingår i riskhanteringspolicy och kontinuitetspolicy?

Policyn ska beskriva riskidentifiering, bedömning, åtgärdsprioritering, testprogram för kontinuitet och ansvar för återställning av kritiska tjänster.

Vilka tekniska åtgärder är mest prioriterade för att skydda nätverk och system?

Multi‑factor authentication för åtkomst, segmentering av nätverk, kontinuerlig övervakning och detektion via SIEM/UEBA, samt regelbunden patchning och hårdnande av plattformar.

Hur säkrar vi privilegierad åtkomst och MFA för kritiska system?

Inför minsta‑privilegium, separera administrativa konton, använd MFA och övervaka aktivitet för att upptäcka missbruk eller avvikande beteenden.

Hur bör vi hantera kryptering av data i vila och under överföring?

Använd beprövade protokoll som TLS för överföring och AES för lagring, hantera nycklar centralt och rotera dem enligt policy för att minimera exponering.

Vad innebär hårdnande av plattformar, loggning och UEBA/SIEM i praktiken?

Hårdnande innebär att stänga onödiga tjänster, säkra konfigurationer och applicera patchar. Loggning ska vara centraliserad och kopplad till analysverktyg för att snabbt kunna upptäcka anomalier via UEBA/SIEM.

Hur utvecklar vi robusta RTO/RPO, backupstrategier och återställningstester?

Definiera acceptabla avbrottstider och dataförlust, implementera automatiserade backup‑rutiner, testa återställningar regelbundet och utvärdera resultat mot definierade mål.

Vilka kontroller säkerställer kontinuitet för kritiska tjänster och leverantörer?

Upprätta redundans, alternativa leverantörer, avtal med återställningskrav och krav på leverantörernas testprogram för att garantera drift vid störning.

Vilken information ska finnas i en föranmälan till CSIRT inom 24 timmar?

Föranmälan bör innehålla en kort beskrivning av incidenten, tidpunkt för upptäckt, påverkade system och initial bedömning av påverkan samt kontaktperson för vidare dialog.

Vad krävs i uppföljningen inom 72 timmar vad gäller allvarlighetsgrad och indikatorer?

Uppföljningen ska innehålla fördjupad analys av påverkan, tekniska indikatorer på intrång, åtgärder vidtagna hittills och preliminär bedömning av påverkan på tjänsteleverans.

Hur utformas interim‑ och slutrapporter efter en incident (30 dagar och vidare)?

Interimrapporter redogör för förlopp, åtgärder och interimresultat. Slutrapporten innehåller fullständig incidentanalys, rotorsaksutredning, lärdomar och rekommenderade förbättringar.

Hur bygger vi ett effektivt utbildningsprogram och medvetandegörande i hela organisationen?

Vi implementerar rollbaserad träning, återkommande simuleringar och enkla hygienåtgärder som phishing‑övningar och policygenomgångar för att höja säkerhetskulturen.

Vilken dokumentation och spårbarhet behöver vi för att bevisa efterlevnad?

Bevara riskanalyser, incidentloggar, åtkomstregister, avtal med leverantörer och revisionsspår. Automatiserad evidensinsamling underlättar vid revisioner och tillsyn.

Hur automatiserar vi insamling av evidens och rapporter?

Genom att integrera logghantering, konfigurationsdata och change‑management i centrala verktyg som genererar rapporter och exportera bevis i standardformat för revision.

Vilka krav ska vi ställa på leverantörer, tjänsteleverantörer och plattformar?

Specificera säkerhetskrav i avtal, begär revisionsrapporter och penetrationstestresultat, ställ krav på incidentrapportering och kontinuerlig övervakning.

Hur harmoniserar vi våra processer med ISO/IEC 27001, NIST och CIS Controls?

Gör en mappning mellan era policys och etablerade standarder, fyll eventuella gap med prioriterade åtgärder och använd standarder som ramverk för interna och externa revisioner.

Hur genomför vi en trygg och effektiv genomlysning med gap‑analys, prioriterad åtgärdsplan och roadmap?

Vi startar med inventering och gap‑analys, prioriterar åtgärder utifrån risk och kostnadseffektivitet, och levererar en tidsatt roadmap med milstolpar och löpande uppföljning.

Vad ingår i kontinuerlig uppföljning, rapportering och stakeholder‑stöd efter genomlysningen?

Löpande statusrapporter, dashboards för ledning och styrelse, stöd vid implementering av åtgärder samt förberedelse inför externa revisioner och tillsynsfrågor.