Vilka organisationer omfattas?

NIS2 delar in berörda organisationer i två kategorier: väsentliga enheter och viktiga enheter. Båda måste uppfylla direktivets krav, men tillsynens intensitet och sanktionsnivåerna skiljer sig åt.

Väsentliga enheter

Dessa driver samhällskritisk infrastruktur och tjänster:

Väsentliga enheter står under proaktiv tillsyn — myndigheter behöver inte invänta en incident för att granska dem.

Viktiga enheter

Denna kategori utökar direktivets räckvidd till sektorer som tidigare inte omfattades:

Viktiga enheter granskas reaktivt — typiskt efter en incident eller efter tips — men kraven på riskhantering och rapportering är i princip desamma.

Storlekströskel: Direktivet riktar sig primärt till medelstora företag (50+ anställda eller 10+ miljoner euro i omsättning) och uppåt. Men — och det här missar många — även mindre företag kan omfattas om de ingår i leverantörskedjan till en väsentlig enhet eller om en medlemsstat bedömer dem som samhällskritiska.

Centrala krav i NIS2

Riskhantering och tekniska åtgärder

NIS2 kräver att organisationer implementerar "lämpliga och proportionella" tekniska och organisatoriska åtgärder. I praktiken innebär det:

• Riskanalys och informationssäkerhetspolicyer — dokumenterade, uppdaterade och förankrade i ledningen
• Incidenthantering — etablerade processer för detektion, respons och återhämtning
• Driftskontinuitet och krishantering — testade planer, backupstrategier, disaster recovery
• Leverantörskedjans säkerhet — dokumenterad granskning av leverantörer och deras säkerhetsåtgärder
• Nätverkssäkerhet — inklusive kryptering, flerfaktorsautentisering och åtkomstkontroll

Det som skiljer NIS2 från lösa rekommendationer är att dessa åtgärder ska vara dokumenterade och reviderbara. En organisation som "gör rätt saker" men inte kan visa det i en revision, uppfyller inte direktivet.

Från vår SOC/NOC-verksamhet ser vi att den vanligaste bristen inte är avsaknad av brandväggar eller kryptering — det är avsaknad av dokumentation, testade processer och tydliga ansvarslinjer.

Incidentrapportering — 24/72-modellen

NIS2 inför en rapporteringsmodell med tre steg:

1. Tidig varning inom 24 timmar — en första anmälan till ansvarig myndighet som anger att en incident inträffat

2. Fullständig incidentrapport inom 72 timmar — med bedömning av allvarlighetsgrad, påverkan och vidtagna åtgärder

3. Slutrapport inom en månad — med rotorsaksanalys och lärdomar

Jämfört med GDPR:s 72-timmarsregel för personuppgiftsincidenter är NIS2:s 24-timmarsvarning betydligt snabbare. Organisationer som saknar 24/7-övervakning kommer att ha svårt att upptäcka och rapportera incidenter inom dessa tidsramar — något vi på Opsio ser som en av de största praktiska utmaningarna.

Ledningens ansvar

Det kanske mest uppmärksammade kravet: ledningen bär personligt ansvar för att säkerställa att organisationen uppfyller NIS2. Styrelseledamöter och verkställande ledning ska:

• Godkänna riskhanteringsåtgärder
• Genomgå cybersäkerhetsutbildning
• Övervaka implementeringen av säkerhetsåtgärder

Vid bristande efterlevnad kan ledningen inte hänvisa till att "IT-avdelningen inte informerade dem". Direktivet gör cybersäkerhet till en styrelsefråga med potentiella personliga konsekvenser.

Sanktioner och tillsyn

NIS2 harmoniserar sanktionsnivåerna i hela EU:

I Sverige är det ännu inte helt klarlagt vilken eller vilka myndigheter som får det samlade tillsynsansvaret, men MSB (Myndigheten för samhällsskydd och beredskap) har en central roll i det nationella genomförandet. Organisationer bör följa utvecklingen noga och inte vänta på att den svenska lagstiftningen är helt på plats innan de börjar anpassa sig.

Praktisk vägledning: Fem steg mot efterlevnad

1. Kartlägg om ni omfattas

Utgå från sektorslistan och storlekströskeln, men glöm inte leverantörskedjan. Om ni levererar tjänster till en väsentlig enhet kan ni indirekt omfattas.

2. Genomför en gap-analys

Jämför era befintliga säkerhetsåtgärder mot NIS2:s krav. Organisationer som redan arbetar enligt ISO/IEC 27001 eller NIST CSF har ett försprång, men NIS2 har specifika krav (framför allt rapporteringstider och ledningsansvar) som dessa ramverk inte täcker fullt ut.

3. Förankra i ledningen

Se till att styrelse och VD förstår sitt personliga ansvar. Boka utbildningstid, skapa rapporteringslinjer och dokumentera ledningens aktiva deltagande i cybersäkerhetsarbetet.

4. Bygg incidenthanteringsförmåga

24-timmarsvarningen kräver detektion dygnet runt. Om ni inte har en intern SOC-funktion, överväg en managerad säkerhetstjänst med 24/7-övervakning som kan detektera, eskalera och stödja rapportering.

5. Dokumentera leverantörskedjan

Kartlägg era kritiska leverantörer, bedöm deras säkerhetsåtgärder och inkludera cybersäkerhetskrav i avtal. Det gäller inte minst molntjänstleverantörer — NIS2 nämner uttryckligen cloud computing-leverantörer som en del av den digitala infrastrukturen.

NIS2 och molntjänster — vad innebär det i praktiken?

Molntjänstleverantörer klassas under NIS2 som digital infrastruktur, vilket gör dem till väsentliga enheter. Det innebär att era val av molnplattform och MSP direkt påverkar er egen NIS2-efterlevnad.

Konkret bör ni säkerställa:

• Datalagring i EU — företrädesvis i regioner som eu-north-1 (Stockholm) eller Azure Sweden Central för att underlätta GDPR- och datalokaliseringskrav
• Avtalsmässiga säkerhetskrav — att er leverantör kan visa efterlevnad av NIS2-relevanta säkerhetsåtgärder
• Transparens vid incidenter — att leverantören rapporterar säkerhetsincidenter till er inom tidsramar som möjliggör er egen 24-timmarsrapportering
• Revisionsrätt — möjlighet att granska eller kräva tredjepartsrevision av leverantörens säkerhetsåtgärder

På Opsio bygger vi vår molnsäkerhetsarkitektur med dessa krav som utgångspunkt. Vi ser att organisationer som tar tag i leverantörsgranskningen tidigt undviker kostsamma omställningar längre fram.

Vanliga frågor

Vilka organisationer omfattas av NIS2?

NIS2 riktar sig primärt till medelstora och stora organisationer inom 18 definierade sektorer — från energi och sjukvård till digital infrastruktur och livsmedel. Även mindre företag kan omfattas om de bedöms som samhällskritiska eller ingår i en väsentlig enhets leverantörskedja.

Vad händer om vi inte uppfyller NIS2-kraven?

Väsentliga enheter riskerar böter upp till 10 miljoner euro eller 2 % av global årsomsättning. Viktiga enheter riskerar 7 miljoner euro eller 1,4 %. Därutöver kan ledningen hållas personligt ansvarig och tillsynsmyndigheter kan förbjuda verksamhet.

Hur skiljer sig NIS2 från det ursprungliga NIS-direktivet?

NIS2 utökar antalet sektorer kraftigt, inför enhetliga sanktioner i hela EU, ställer hårdare krav på incidentrapportering (24-timmars tidig varning), lägger personligt ansvar på ledningen och kräver dokumenterad hantering av leverantörskedjans säkerhet.

Hur förhåller sig NIS2 till GDPR?

NIS2 och GDPR kompletterar varandra. GDPR skyddar personuppgifter, medan NIS2 fokuserar på nätverks- och informationssäkerhet i bred bemärkelse. En organisation kan behöva rapportera samma incident till både IMY (för GDPR) och den NIS2-ansvariga tillsynsmyndigheten.

Behöver vi SOC 2 eller ISO 27001 för att klara NIS2?

NIS2 kräver inte uttryckligen certifiering, men organisationer med ISO/IEC 27001 eller SOC 2 har ett försprång eftersom dessa ramverk överlappar med många av NIS2:s krav på riskhantering, incidenthantering och dokumentation. Gapet handlar ofta om rapporteringstider och ledningsansvar.