Regulatoriska krav: NIS2 och GDPR i praktiken

NIS2 — vad det innebär för svenska företag

NIS2-direktivet har trätt i kraft på EU-nivå och ställer avsevärt skärpta krav jämfört med det ursprungliga NIS-direktivet. De viktigaste förändringarna:

Integritetsskyddsmyndigheten (IMY) och andra tillsynsmyndigheter förväntas intensifiera sin granskning. Företag som opererar i molnet behöver säkerställa att deras leverantörer — inklusive managerade tjänsteleverantörer — kan visa dokumenterad efterlevnad.

GDPR — fortfarande ryggraden i dataskyddet

GDPR har inte blivit mindre relevant. Artikel 32 kräver "lämpliga tekniska och organisatoriska åtgärder" proportionellt mot risken. I praktiken innebär det att företag som hanterar personuppgifter i molnet måste kunna visa:

• Kryptering i vila och under transport
• Åtkomstkontroll baserad på minsta möjliga behörighet
• Loggning och spårbarhet av dataåtkomst
• Incidenthanteringsplan med dokumenterade processer

Molnsäkerhet

Fem lager i en fungerande säkerhetsstrategi

IT-säkerhet handlar inte om en enskild produkt — det handlar om djupförsvar. Vi rekommenderar att tänka i fem lager:

1. Identitet och åtkomstkontroll

Identiteten är den nya perimetern. Med hybridarbete och molntjänster finns det ingen tydlig nätverksgräns att försvara. Prioritera:

• Phishing-resistent MFA — FIDO2-nycklar eller certifikatbaserad autentisering. SMS-koder och tidbaserade engångskoder räcker inte mot AiTM-attacker.
• Conditional Access — Styr åtkomst baserat på enhetsstatus, plats, riskpoäng och applikation.
• Privileged Access Management (PAM) — Tidsbegränsade, just-in-time-behörigheter för administratörskonton.
• Zero Trust-arkitektur — Verifiera varje begäran, oavsett om den kommer inifrån eller utifrån nätverket.

2. Nätverkssäkerhet

Nätverkssegmentering är inte ett nytt koncept, men det är fortfarande förvånansvärt sällsynt i praktiken. En platt nätverksarkitektur innebär att en angripare som tar sig in via en enda arbetsstation kan nå hela infrastrukturen.

• Mikrosegmentering i molnet (säkerhetsgrupper, NSG:er, VPC-peering med tydliga regler)
• DNS-filtrering och webbproxy för att blockera kommunikation med kända C2-servrar
• Intrångsdetektering och intrångsskydd (IDS/IPS) på strategiska punkter

3. Endpoint-skydd

Traditionellt antivirus räcker inte. Modern endpoint-säkerhet kräver EDR (Endpoint Detection and Response) eller XDR som kan:

• Detektera beteendebaserade anomalier, inte bara kända signaturer
• Isolera komprometterade enheter automatiskt
• Ge forensisk data för incidentutredning

4. Dataskydd och backup

Data är det angriparna vill åt — antingen för att kryptera, stjäla eller manipulera. Skydda den i varje tillstånd:

• Kryptering — AES-256 i vila, TLS 1.3 under transport. Hantera nycklar via en dedikerad KMS, inte hårdkodade i applikationskod.
• Backup enligt 3-2-1-1-regeln — Tre kopior, två medietyper, en offsite, en immutabel (oföränderlig). Testa återställning kvartalsvis — inte bara att backupen körs.
• Dataklassificering — Ni kan inte skydda allt lika starkt. Identifiera vad som är affärskritiskt och reglerat.

5. Säkerhetskultur och utbildning

Teknik löser inte allt. Medarbetarna är både den största sårbarheten och det starkaste försvaret. Men årlig e-learning räcker inte.

• Simulerade nätfiskekampanjer med individuell uppföljning
• Incidentövningar (tabletop exercises) för ledningsgruppen
• Tydliga rapporteringsrutiner — det ska vara enklare att rapportera en misstänkt incident än att ignorera den

Kontinuerlig övervakning: varför SOC inte är valfritt

En säkerhetsstrategi utan övervakning är som ett brandlarm utan batteri. Angripare opererar ofta i veckor innan de utlöser sin slutliga attack. Den tiden — "dwell time" — är er möjlighet att upptäcka och stoppa dem.

En managerad SOC-tjänst ger:

• 24/7 SIEM-övervakning — Korrelering av loggar från molnmiljöer, endpoints, identitetssystem och nätverksenheter.
• Hotjakt (threat hunting) — Proaktiv sökning efter indikatorer på kompromiss som inte triggar automatiserade larm.
• Incidenthantering — Dokumenterad process med eskalering, containment och forensisk utredning.

I en svensk kontext, där bristen på cybersäkerhetsspecialister är akut, är outsourcad SOC ofta det enda realistiska alternativet för medelstora företag. Opsio driver SOC/NOC dygnet runt från Karlstad och Bangalore, med insyn i hundratals produktionsmiljöer — vilket ger en hotbild som ett enskilt företag aldrig kan matcha.

Managerade molntjänster

Molnsäkerhet kräver delade ansvarsmodellen

Ett vanligt missförstånd: "vi har lagt allt i molnet, så leverantören sköter säkerheten." Fel. AWS, Azure och Google Cloud opererar alla med en delad ansvarsmodell:

I eu-north-1 (Stockholm) eller Sweden Central kör ni visserligen i en svensk datacenterregion — men felkonfigurerade S3-buckets, öppna säkerhetsgrupper och överdimensionerade IAM-roller är ert problem, inte AWS eller Microsofts.

Molnmigrering

Bygg en handlingsplan — börja här

Istället för att försöka göra allt samtidigt, prioritera i denna ordning:

1. Inventera — Kartlägg alla tillgångar, identiteter och dataflöden. Ni kan inte skydda det ni inte vet om.

2. Stärk identiteten — Rulla ut phishing-resistent MFA och Conditional Access inom 30 dagar.

3. Segmentera — Separera kritiska system från allmän kontorsinfrastruktur.

4. Etablera övervakning — Anslut en SIEM/SOC-tjänst som ger synlighet dygnet runt.

5. Testa och öva — Penetrationstest, backup-återställning och incidentövningar kvartalsvis.

6. Dokumentera — NIS2 kräver spårbarhet. Om det inte är dokumenterat hände det inte.

Managerad DevOps

Vanliga frågor

Vad kostar bristande IT-säkerhet ett medelstort svenskt företag?

Det varierar kraftigt, men en ransomware-incident kan innebära allt från produktionsstopp i dagar till GDPR-böter på upp till 4 % av global årsomsättning. De indirekta kostnaderna — förlorat kundförtroende, juridiska processer och återuppbyggnad — överstiger ofta de direkta kostnaderna mångfalt.

Vilka företag omfattas av NIS2-direktivet?

NIS2 omfattar väsentliga och viktiga entiteter inom 18 sektorer, inklusive energi, transport, hälsa, digital infrastruktur, offentlig förvaltning och tillverkningsindustri. Även många underleverantörer påverkas indirekt genom krav på supply chain-säkerhet.

Behöver vi ett eget SOC eller kan vi outsourca?

De flesta medelstora företag saknar resurser för ett internt SOC. En managerad SOC-tjänst ger 24/7-övervakning, hotjakt och incidenthantering utan att ni behöver rekrytera och behålla specialistkompetens — som är extremt svår att hitta på den svenska marknaden.

Hur ofta bör vi genomföra penetrationstester?

Minst årligen, samt efter större infrastrukturförändringar. Komplettera med kontinuerlig sårbarhetsskanning och red team-övningar för att testa hela försvarskedjan, inte bara tekniken.

Vad är skillnaden mellan SIEM och XDR?

SIEM samlar och korrelerar loggar från många källor för att identifiera säkerhetshändelser. XDR (Extended Detection and Response) integrerar endpoint-, nätverks- och molndata i en plattform med automatiserad respons. I praktiken kompletterar de varandra — XDR ger snabbare respons, SIEM ger djupare analys och compliance-loggning.