NIS2 compliance: Vi hjälper dig att uppfylla kraven

Directive (EU) 2022/2555 höjer kraven på riskhantering, säkerhetsåtgärder och incidentrapportering inom EU. Vi förklarar vad detta betyder för er verksamhet och vilka konkreta steg som krävs.

Vi visar hur den nya nis2 directive påverkar olika organizations och industry-sektorer. Målet är att stärka security och förbättra cyber security i hela unionen. Bristande efterlevnad kan ge skärpt tillsyn och avgifter.

Genom praktiska steps och en tydlig strategy hjälper vi er gå från nulägesanalys till verifierad compliance. Vi pekar också ut vilka roller som måste engageras och vilka services som oftast berörs.

Nyckelinsikter

• Direktivet ställer högre krav på riskhantering och informationsskydd.
• Flera branscher och services påverkas; ledning måste vara involverad.
• Vi erbjuder stegvisa åtgärder för att minska risks och stärka motståndskraft.
• Rapportering och systematisk säkerhetsarbete blir centralt från 18 oktober 2024.
• Läs mer hos MSB för nationell vägledning: MSB – Det här är NIS2-direktivet.

Översikt: NIS2 i EU och vad det betyder för oss i Sverige just nu

Den 18 oktober 2024 markerade startpunkten för ett nytt regelverk som påverkar rapportering och riskhantering inom EU. Vi förklarar kort vad det innebär för svenska verksamheter och vilka aktörer som spelar roll i övergången.

Tidslinje och läget i EU

Directive trädde i kraft 18 oktober 2024. Regeln ställer högre krav på reporting av incidenter och på systematisk riskhantering. Omfattningen har utökats från sju till arton sectors.

Svensk implementering

I Sverige följer vi SOU 2024:18 och en lagrådsremiss från juni 2025. En proposition väntas under hösten 2025. MSB har ett nationellt samordningsansvar och kommer utfärda föreskrifter.

Flera competent authorities per sektor kommer att vägleda entities och utföra tillsyn. En review update av regelverket kan ske fram till slutlig lagstiftning.

Konsekvenser vid brister

Storlekströsklar gäller: över 50 anställda eller 10 miljoner euro i annual turnover kan innebära att organizations omfattas.

Vid brister väntar skärpt tillsyn, administrativa sanktionsavgifter och personligt ledningsansvar. Tidig reporting och transparens stärker security och minskar risk för hårda följder.

Vem omfattas och vilka krav ställs i NIS2-direktivet

Här går vi igenom vilka verksamheter som berörs och vad som krävs av dem.

Väsentliga och viktiga sektorer

Direktivet utvidgar räckvidden till arton sektorer. Det inkluderar energi, transport, hälso- och sjukvård, digital infrastruktur och offentlig förvaltning.

Essential important entities och important entities får olika tillsynsnivåer beroende på vilken bilaga de återfinns i.

Storlekströsklar och räckvidd

Medelstora och stora företag med över 50 anställda eller 10 miljoner euro i annual turnover omfattas generellt.

Vissa undantag finns och gränsdragningar påverkar services och närliggande organizations.

Kärnkrav och incidentrapportering

Huvudkraven fokuserar på risk management, adekvata measures för security och kontinuitet i tjänster.

Rapportering ska ske snabbt vid allvarliga händelser för att säkerställa transparens och minska skada.

Styrning och leverantörskedja

Ledningen hålls ansvarig; styrelse och VD måste följa upp resurser och beslut.

Vi betonar också supply chain security och bedömning av tredjeparts- samt fjärdepartsrisker.

NIS2 compliance: steg-för-steg vägledning

Vi beskriver en praktisk approach som tar er från nuläge till en fungerande handlingsplan. Fokus ligger på tydliga steg, prioritering och mätbar förbättring.

Kartlägg nuläget

Vi börjar med en assessment och gap‑analys. Här kartlägger vi risk, befintliga kontroller och incidentprocesser.

Resultatet blir en prioriterad lista på brister och en baslinje för vidare arbete.

Bygg en roadmap

Vi tar fram en realistisk strategy och roadmap i flera step. Milstolpar, ansvar och budget fastställs för att säkra genomförandet.

Implementera säkerhetsåtgärder

Vi rullar ut tekniska och organisatoriska security measures. Det inkluderar stark autentisering, kryptering, loggning och nätverkssegmentering.

Vi använder modern technology för övervakning och snabb response vid incidenter.

Utbilda och testa

Vi utbildar ledning och personal i ansvar och roller samt genomför återkommande övningar.

Regelbundna tester och penetrationstester ger underlag för review update av risk management.

Dokumentera och rapportera

Vi skapar styrdokument, register och tydliga rapporteringskanaler så att organizations across kan visa spårbarhet.

”Ett systematiskt arbetssätt gör skillnad när en incident inträffar.”

1. Assessment och gap‑analys
2. Roadmap och prioriteringar
3. Implementering av security measures
4. Utbildning, test och review update
5. Dokumentation och reporting

Sammanfattning: Vi levererar en tydlig approach med konkreta steps för att stärka risk management och uppfylla krav. Målet är att göra er redo för praktisk efterlevnad och snabb återhämtning.

Incident response och säker kommunikation som grund för efterlevnad

Snabb, strukturerad incidenthantering är avgörande för att skydda verksamhetens tjänster och data. Vi bygger en incident response-plan som kopplar roller till beslutspunkter och kontaktvägar till relevanta myndigheter.

Incident response-plan: roller, eskalering och samordning

Vi definierar ansvar, eskaleringsvägar och playbooks för ransomware, DDoS och dataexfiltration. Planen inkluderar MTTA/MTTR-mål och rutiner för snabb samordning med myndigheter.

Affärskontinuitet: redundans och återställning

Vi säkerställer business continuity genom redundanta miljöer, testade backup-procedurer och tydliga service‑nivåmål.

Säker internkommunikation

Vi inför end-to-end-kryptering, stark autentisering och säkra kriskanaler så att intern kommunikation fungerar även vid större incidents.

Leverantörs- och supply chain-säkerhet

Vi bedömer leverantörsrisker, ställer krav i avtal och följer upp third- och fourth‑party riskprofiler löpande.

Slutsats

För att stå bättre rustade krävs en praktisk, löpande strategi som täcker risk, information och incidentrapportering. Vi rekommenderar att ni börjar med en verifierad assessment och prioriterar åtgärder som stärker säkerhet och motståndskraft.

Regelverket gäller sedan oktober 2024 och påverkar fler sektorer och services. Ledning, tillsynsmyndigheter och leverantörer måste samordna arbetet för att möta nya krav.

Konkreta steg: uppdatera er assessment, verifiera att nis2 requirements är täckta, förstärk riskhantering och integrera en response plan i era rutiner.

Vi uppmanar er att agera nu — med tydliga mål, resurser och en tidsplan — för att minimera incidentrisker och säkra era tjänster inför tillsyn.