NIS2 implementation plan: Vårt Tillvägagångssätt för Ökad Säkerhet

Vi beskriver hur vi översätter directive till konkreta åtgärder som stärker cybersecurity och praktisk security för svenska companies. Vår metod visar vilka entities och services som omfattas, hur scope bedöms och vilka requirements och measures som krävs.

Vi förklarar ledningens management-ansvar enligt artikel 20 och artikel 21 och hur dokumenterade beslut och mätbara mål ger styrning. Samtidigt visar vi hur incidentrapportering och report till relevanta myndigheter och CSIRT organiseras.

Vårt tillvägagångssätt kopplar till internationella standards och tar hänsyn till impact från förordning 2024/2690 på cloud-, data center- och marketplace providers. Vi adresserar även service- och leverantörsberoenden samt hur information och evidens samlas för tillsyn.

Resultatet blir en praktisk, verifierbar väg från tolkning till genomförande, med systems-stöd för snabb incidenthantering och kontinuerlig förbättring.

Viktiga slutsatser

• Vi översätter directive till tydliga krav och operativa åtgärder.
• Entities och services prioriteras efter scope och risk.
• Ledningen får mätbara mål och ansvar enligt artikel 20–21.
• Incident- och report-flöden säkerställer snabb notification.
• Standards och evidens underbygger compliance vid tillsyn.

Syfte och omfattning: vårt praktiska arbetssätt för NIS 2 i Sverige

Vi visar ett praktiskt arbetssätt som fångar in services, information systems och ansvarsfördelning i Sverige. Syftet är att göra directive-kraven tydliga och användbara för svenska verksamheter.

Vem som omfattas

Vem som omfattas: essential och important entities

Vi identifierar vilka entities som blir omfattade, inklusive essential important entities och andra important entities enligt nationell transponering. En tydlig list visar vilka sektorer och verksamheter som ingår.

Vad som ingår i vår plan: risk, åtgärder, incidentrapportering

Vi avgränsar scope genom assessment av services och information systems. Detta avgör vilka krav och security-åtgärder som måste införas.

• Risk management och ledningsansvar enligt directive.
• Incident- och report-flöden till relevant authority.
• Hantering av tredjepartsservices och delat ansvar.

Område	Huvudkrav	Tidslinje	Ansvar
Coverage	Essential & important entities	Transponering till 17 okt 2024	Ledning
Åtgärder	Risk management, kontinuitet, kryptering	Löpande	IT & Security
Incident	Rapportera och dokumentera	Enligt trösklar i directive	CSIRT / Ansvarig
Tredjepart	Avgränsning av tjänster	Vid avtal och assessment	Leverantörsansvar

”Vi prioriterar tydliga rapportvägar och bevis för tillsyn, så att ledningen kan fatta informerade beslut.”

Sammanfattning

Vår metod stödjer både initial genomgång och löpande förbättring. Den kalibrerar säkerhetsnivåer efter verksamhetens riskprofil och hjälper till att möta report-krav snabbt och korrekt.

Användarintention och resultat: från osäkerhet till genomförbar plan

Vi omvandlar vanliga frågor från companies till konkreta steg som ger mätbar effekt. ENISA 2024 visar ökade investeringar i cybersecurity och att nis directive driver mognad. Kapitel IVs fokus på riskhantering och reporting obligations är centralt för entities.

Vårt arbetssätt beskriver hur vi sätter mål för vilket impact som ska nås: snabbare incident‑respons, färre avbrott i services och bättre beslutsunderlag för management.

Vi kopplar varje steg till mätbara resultat och nödvändiga measures så framdrift kan följas med regelbunden report. Risk management är aktivt från start och löpande för att rikta åtgärder där de ger störst effekt.

• Organiserad information och evidens från policy till teknisk kontroll.
• Skalbara arbetssätt för både små och stora entities.
• Tydliga roller, playbooks och övningar för att minska osäkerhet vid incident.
• Rapportering som integreras i befintlig styrning för att minimera dubbelarbete.

”Vi prioriterar mätbara resultat och praktiska measures som ger snabb förbättring.”

Regelverkslandskapet nu: NIS 2 som bas, och hur övriga EU-akter passar in

Här förtydligar vi relationen mellan den europeiska basen för cybersäkerhet och kompletterande regelverk. Vi ser nis directive som basen för riskhantering, rapport och driftsäkerhet för entities och services.

Cyber Solidarity Act kompletterar på EU-nivå genom att skapa gemensamma resurser för krishantering och samordnad lägesbild. Vid stora attacker aktiveras mekanismer för operativ respons och delning av report och information.

NIS 2 kontra Cyber Solidarity Act: krishantering på EU-nivå

Cyber Solidarity Act fungerar som lex specialis vid storskaliga kriser. Den kompletterar den generella obrutna skyldigheten att hantera incident enligt directive.

Relation till DORA och Cyber Resilience Act

DORA är sektorsspecifik för finans och går före i sin domän enligt lex specialis-principen. CRA riktar sig mot produkter och säkerhets‑by‑design i leverantörskedjan.

• Vi positionerar directive som bas för cybersecurity-krav, report och kontinuitet för entities.
• Vi visar hur service providers påverkas olika beroende på akt.
• Vi förklarar hur reporting obligations skiljer sig och hur standards kan återanvändas för samordnad efterlevnad.

Regelverk	Primärt fokus	When lex specialis	Påverkade aktörer
nis directive	Drift, riskhantering, incidentrapport	Allmän bas	Entities, service providers
Cyber Solidarity Act	EU-krisresurs, lägesbild, samordning	Vid storskalig kris	Authority, CSIRT, medlemsstater
DORA	Finanssektorns motståndskraft	Sektorsspecifik överordning	Finansiella providers, banktjänster
CRA	Produkt- och leverantörssäkerhet	Produkt- och leverantörsfrågor	Tillverkare, leverantörer

Transponering och nationell tillämpning: vad läget i EU betyder för svenska aktörer

Variationerna i medlemsstaternas transponering påverkar scope och rapportvägar för svenska entities. När länder skiljer sig åt i klassificering och enforcement måste vi anpassa både styrning och tekniska processer.

Enligt ECSO:s tracker (25 juli 2025) har 14 av 27 medlemsstater transponerat. Europeiska kommissionen inledde överträdelseärenden mot 23 länder den 28 november 2024.

Varierande krav och konkreta effekter

Vissa länder har snävare tidsfrister för incident och early warning — till exempel Cypern med 6 timmars krav. Andra har förändrat scope genom att exkludera finanssektorn eller slå ihop sektorer som dricksvatten och avlopp.

Det faktum att standards-referenser varierar (ISO, NIST eller nationella ramar) gör att vår assessment behöver definiera en harmoniserad baseline för services och providers.

• Vi visar hur skillnader i scope påverkar prioritet för kontroller och resurser.
• Vi kartlägger authority och registreringskrav för report och anmälningar i olika jurisdiktioner.
• Vi planerar processer som klarar strängaste incident-tidsfrister över gränserna.

Exempel	Skillnad	Konsekvens för svenska entities
Cypern	6 timmars early warning	Behov av snabbare detection och notifiering
Ungern/Finland/Belgien	Exklusion av finans	Olika scope kräver landspecifika assessments
Flera stater	Olika standards-referenser	Harmoniserad baseline rekommenderas

Vår rekommendation: följ tracker-data, upprätta authority-kartor och bygg processer som hanterar högsta krav för report och incident. Detta minskar legal och operativ risk för companies med cross-border services.

”Att agera proaktivt kring scope och krav ger bäst förutsättningar för efterlevnad och driftssäkerhet.”

Styrning och ansvar enligt artikel 20: vår modell för ledningens ägarskap

Ledningen bär det övergripande ansvaret för att godkänna och följa upp cybersäkerhetsåtgärder enligt artikel 20.

Styrelse och ledning: ansvar, utbildning och ansvarsskyldighet

Vi definierar tydliga ansvarslinjer för board och executive team. Beslut om management measures ska dokumenteras, finansieras och följas upp med regelbundna report till ledningen.

Vi etablerar ett utbildningsprogram för information security och cybersecurity riktat till ledningen. Programmet består av återkommande activities och scenarioövningar.

• Formalisera ansvar i styrande dokument och bevis.
• Klargöra eskalering för incident till board-level.
• Sätta KPI:er, riskaptit och beslutsforum för prioritering av measures.
• Inkludera providers i governance och lista högriskberoenden.

Ämne	Vad vi gör	Frekvens	Ansvar
Beslutsdokument	Formaliserade mandat och roller	Årlig revision	Board / CEO
Rapportering	Månadsvis risk- & incidentreport	Månatligen	CSIRT / CISO
Utbildning	Ledningsprogram och övningar	Kvartalsvis	HR & CISO
Granskning	Oberoende revision till riskkommitté	Årligen	Internrevision

”Klara ansvarslinjer och upprepade rapporter minskar både operativ risk och personligt ansvar.”

Artikel 21 i praktiken: risk management measures enligt “all-hazards”

Vår tolkning av article 21 omsätter regelkrav till mätbara säkerhetsåtgärder i verksamhetens vardag. Vi bygger en struktur där policy, process och teknik samverkar för att hantera cybersecurity risk.

Från policy till tekniska och organisatoriska kontroller

Vi etablerar policies för riskanalys, incidenthantering, kontinuitet och supply chain security. Dessa styr vilka controls som krävs för information systems och services.

Tekniska measures omfattar patchning, sårbarhetshantering, säker utveckling och krypterade kommunikationer. Vi inför åtkomstkontroll, MFA och asset management enligt vedertagna standards.

• Incidentprocesser och DR för att minimera driftstopp.
• Utbildning och cyberhygien som löpande stärker personalens förmåga.
• Leverantörskrav och uppföljning för robust supply chain security.
• Kriterier för significant incidents som styr rapportering och eskalering.

All-hazards och proportionalitet präglar hur vi prioriterar measures. Vi mäter effektivitet och rapporterar resultat till management för kontinuerlig förbättring.

Implementing Regulation (EU) 2024/2690: vad som förändras för digitala tjänsteleverantörer

Förordning 2024/2690 fastställer tekniska och metodologiska krav enligt artikel 21(2). Ikraftträdandet skedde 20 dagar efter publicering i EUT den 7 november 2024. Vi beskriver vad det betyder praktiskt för svenska service providers och andra berörda entities.

Tekniska och metodologiska krav som berör leverantörer och plattformar

Akten preciserar krav på loggning, resilience, åtkomstkontroll och evidens för audit. De kategorier som nämns explicit inkluderar cloud computing service providers, data centre service providers, CDN providers, DNS providers, TLD registries, managed service providers, managed security service providers, online marketplaces, online search engines, social networking services och trust service providers.

Vad som räknas som “significant incident” enligt akten

Significant incidents bedöms per kategori och utlöses av indikatorer som långvarigt avbrott, dataläckage med hög påverkan, eller påverkan på kritisk infrastruktur. Vid sådana incidenter krävs snabb notification och ibland ett fullständigt report till authority.

Kategori	Exempel på indikator	Åtgärd
Cloud & data centre	Massiv driftstörning, dataförlust	Immediate notification, detaljerad report
DNS / TLD	Manipulation av zonfiler, hög latency	Rapid notification, forensisk evidens
CDN / managed services	Distribuerat avbrott, cache-poisoning	Mitigation, support logs for report
Plattformar & marketplaces	Storskalig dataläcka, integritetsbrott	Notification, user-impact report

Vi anpassar kontroller, playbooks och SLA:er för att möta de nya reporting obligations. Vår approach integrerar akten i övergripande risk management measures och kopplar till relevanta standards för revision och tillsyn.

ENISA:s vägledning och mappning till standarder: så drar vi nytta av stöddokument

Vägledningen från ENISA ger tydliga kopplingar mellan kravtext och erkända standards för praktisk användning. Den innehåller råd, förtydliganden och exempel på vilken evidens som fungerar vid granskning.

Vi använder ENISA:s tabeller för att mappa krav mot europeiska och international standards som ISO 27001/27002 och NIST. Det effektiviserar både vår assessment och revision.

För entities blir det enklare att strukturera report och dokumentation. Vi bygger checklistor som återanvänder information mellan regelverk för att minska administrativ börda.

ENISA:s data visar ökade investeringar i cybersecurity (cirka 9% av IT‑budgeten). Det stöder prioritering av measures som ger störst effekt på system, providers och processer.

Vi kopplar vägledningen till vår metodik så att bevis samlas konsekvent. Incident‑lärdomar omvandlas till förbättrade measures och tydligare kravbild för information systems.

”ENISA:s vägledning underlättar tolkning, val av evidens och harmonisering mot standards.”

Vi bevakar löpande uppdateringar från ENISA för att hålla våra rekommendationer aktuella och anpassade till nationella ramar.

Steg ett: gap-analys och omfång för NIS2 implementation plan

Vi inleder med en systematisk inventering för att skapa en klar bild av services, beroenden och informationflöden.

Inventering av information systems, tjänster och beroenden

Vi genomför en strukturerad assessment för att jämföra nuläget mot directive‑krav och markera gap.

Vårt mål är att bygga en komplett list över assets och kritiska processer samt systems som stödjer verksamheten.

• Inventera information systems, services, providers och service providers för full insyn.
• Återanvänd befintlig information för att undvika dubbelarbete.
• Identifiera snabba vinster och kritiska brister som ger tidiga effekter.

Identifiering av scope och prioriteringar

Vi avgränsar scope utifrån legala kriterier och verksamhetens riskprofil. Detta styr vilka entities och services som prioriteras.

Resultatet blir en prioriteringslist som underbygger datainsamling, evidens och framtida report vid tillsyn.

Aktivitet	Syfte	Output	Ansvar
Gap‑analys / assessment	Jämföra mot directive‑krav	Gap‑lista och prioriterad actions	CISO / IT‑team
Inventering	Kartlägga systems, services och leverantörer	Asset‑ och beroendelista	IT & Leverantörsansvarig
Scope‑avgränsning	Definiera vilka entities som omfattas	Scope‑dokument och prioriteringslist	Juridik & Risk
Evidensstruktur	Förbereda data för report och tillsyn	Datainsamlingsmall och ansvarsmatris	Compliance

”En tidig, strukturerad assessment minskar osäkerhet och gör att vi kan fokusera resurser där de ger mest effekt.”

Projektstart: ledningsstöd, styrning och initial utbildning

Vi börjar varje projekt med att säkra ledningens stöd och etablera en tydlig styrmodell. Detta ger mandat och budget för att möta directive‑kraven och minskar risken för fördröjningar i kritiska activities.

Säkra budget, mandat och roller

Vi säkrar ledningens mandat genom formella beslut som anger budget, ansvar och beslutsforum. Rollen för board, CISO och projektägare definieras klart.

Styrmodellen innehåller eskaleringsvägar för incident och mekanismer för snabb rapport till authority. Vi föreslår verktyg och mallar för spårbarhet av beslut och evidens.

Kickstart med grundläggande cybersecurity training

Vi genomför en tidig utbildning i cybersecurity och information security för nyckelpersoner och styrelse. Målet är att skapa förståelse för requirements, report‑flöden och roller.

• Synkronisera aktiviteter med andra projekt för att undvika dubbelarbete.
• Involvera providers och partners tidigt för att hantera tredjepartsrisker.
• Definiera hur services påverkas och hur driftstörningar undviks.
• Planera en första assessment av utbildningseffekter och nästa steg.

”Ett starkt ledningsstöd och tidig träning skapar förutsättningar för snabbare genomförande och bättre rapportering.”

Riskhantering: metod, riskbedömning och riskbehandling

Vi beskriver hur vi systematiskt bedömer hot mot kritiska tjänster och prioriterar åtgärder utifrån affärspåverkan.

Vår Risk Management Methodology

Vi dokumenterar en tydlig risk management‑metodik som matchar krav för cybersecurity risk management och directive. Metodiken definierar roller, processer och acceptanskriterier.

Riskbedömning, Risk Treatment Plan och acceptanskriterier

Vi genomför en strukturerad assessment av hot, sårbarheter och impact på systems och information. Resultatet blir en prioriterad lista med risknivåer och rekommenderade measures.

Risk Treatment Plan anger ansvar, budget, tidsplan och ägarskap. Planen godkänns av ledningen och dokumenteras så att den kan användas vid report och revision.

• Definiera acceptanskriterier och beslutsprocess för residualrisk.
• Koppla åtgärder till article 21 och relevanta standards.
• Inkludera lärdomar från tidigare incident för att förbättra analysen.
• Koordinera med providers för delade risker och kontraktskrav.
• Genomföra implementation i sprintar med tydligt ägarskap och mätetal.

Vi mäter effekt med KPI:er som följs upp mot ledningen och rapporteras vid regelbundna aktiviteter. Metoden uppdateras vid förändrade verksamhetskrav eller ny lagstiftning.

”En dokumenterad metod och ledningsgodkänd Risk Treatment Plan gör riskhanteringen spårbar och verksamhetsnära.”

Genomförande av management measures: policys, processer och teknik

Vårt fokus är att göra management measures operativa genom tydliga rutiner och säker teknik. Vi översätter artikel 21:s åtgärdsområden till praktiska aktiviteter som styr både people och systems.

Incidenthantering, kontinuitet, kryptografi och åtkomstkontroll

Vi etablerar SOC och respons‑processer med playbooks, övningar och tydliga ansvar för incident och reporting. Detta gör att vi kan agera snabbt och spårbart.

Kontinuitetslösningar definieras med dokumenterade RTO och RPO per services och information system. Krypteringspolicy och nyckelhantering följer vedertagna standards.

Identitet och åtkomst kontrolleras med MFA och principen om minsta privilegium för att minska risk i användarkonton och tjänster.

Säker utveckling, patchning och sårbarhetshantering

Vi inför säkra utvecklingspraktiker, kontinuerlig sårbarhetsscanning och tydliga SLA:er för patchning. Åtgärder prioriteras utifrån impact på services och entities.

Reporting och lessons learned integreras i processerna så att kontroller förbättras över tid.

• Operationalisera measures till policyer, processer och tekniska kontroller.
• Säkra leverantörer och service providers via avtal och uppföljning.
• Dokumentera arkitektur, dataflöden och skyddsnivåer.
• Genomföra vågor av aktiviteter för att minimera driftpåverkan.

Område	Vad vi levererar	Mätetal	Ansvar
Incident	SOC, playbooks, övningar	MTTR, incident‑övningar/år	CSIRT / CISO
Kontinuitet	RTO/RPO per service	Återställningstid	IT‑drift
Kryptografi & IAM	Krypto‑policy, MFA, key management	Efterlevnad mot standards	Security / IAM
Utveckling	SDLC, patchning, scanning	SLA för patch & sårbarheter	DevOps / SecOps

”Genom praktiska measures och mätbarhet skapar vi robusta kontroller som skyddar både services och entities.”

Supply chain security: kravställning på service providers och leverantörer

Vi säkerställer att relationer med service providers innehåller konkreta säkerhetsåtaganden. Avtal och operationella rutiner måste klargöra ansvar för skydd av kritiska services och data.

Avtalsvillkor, uppföljning och tredjepartsrisker

Vi etablerar krav i avtal med providers om säkerhet, rapportering och revision. Kraven omfattar säker kodning, SBOM, patchning och sårbarhetshantering.

Vi inför tredjeparts riskbedömning och klassificering som styr vilka kontroller som krävs. En löpande due diligence‑process ger snabb överblick över leverantörers security‑läge.

Vi säkerställer incident‑eskalering, access till loggar och rätt till forensic data vid utredningar. Det minskar tiden till analys och report till authority.

• Standards och certifieringar definieras som obligations i avtal.
• Services och scope beskrivs tydligt för att undvika gråzoner i ansvar.
• Vi håller en list över kritiska leverantörer och genomför regelbundna granskningar.
• Exit‑krav säkrar data och drift vid byte av leverantör.

”Tydliga avtal och aktiv uppföljning skapar motståndskraft i hela leverantörskedjan.”

Incident reporting och notification-flöden: från early warning till slutrapport

Vi beskriver hur rapportflöden ska fungera från första upptäckt till slutlig redovisning.

Vår end‑to‑end‑process definierar roller, kanaler och tidsfrister. Early warning ska skickas inom 24 timmar, incident notification inom 72 timmar och en slutlig report inom en månad. Vid pågående ärenden används progress reports.

Tidslinjer, trösklar och rapporttyper

Report‑typer: early warning, incident notification, intermediate/progress och final report. Implementing Regulation 2024/2690 preciserar när en händelse är en significant incident för vissa digitala kategorier.

Kommunikation med CSIRT, myndighet och mottagare

Vi etablerar klar kommunikation med CSIRT, competent authority och recipients services. Kanaler och format standardiseras så att bevis och loggar från providers och systems samlas snabbt.

Steg	Tidsfrist	Mottagare
Early warning	24 h (6 h i vissa länder)	CSIRT / Authority
Incident notification	72 h	Authority / Recipients services
Final report	1 månad	Authority / Interna intressenter

”Vi designar processer för det strängaste kravet så att reporting obligations uppfylls i alla jurisdiktioner.”

Kontinuerlig styrning: mätning, internrevision, ledningens genomgång och korrigerande åtgärder

För att säkra långsiktig efterlevnad bygger vi en struktur för löpande mätning, interna revisioner och formella ledningsgenomgångar. Detta gör att information och report blir styrande för prioriteringar och resurser.

KPI:er, bevis och förbättringscykel

Vi etablerar KPI:er och mål för measures och efterlevnad. KPI:erna speglar både teknisk security och process‑activities, och rapporteras regelbundet till ledningen.

Interna revisioner identifierar brister, incident‑trender och förbättringsområden. Revisionerna ger konkreta rekommendationer och genererar en list över korrigerande åtgärder.

• Definiera mål och hur report delas med management.
• Genomföra periodiska internrevisioner som följer standards och assessment‑kriterier.
• Formaliserade ledningsgenomgångar med dagordning, beslutslogg och uppföljning.
• Organisera activities för corrective actions och verifiera effekt stegvis.
• Säkerställa spårbarhet från directive‑krav till kontroller, bevis och reporting.
• Kontinuerlig övervakning av systems och notification‑triggers, inklusive providers i uppföljningen.

”En stabil förbättringscykel gör att vi kan agera snabbt, spåra effekter och anpassa scope efter förändrade risker.”

Roadmap och tidslinje för Sverige: prioritera rätt åtgärder nu

Vi lägger upp en tydlig tidslinje för Sverige som synkroniserar EU‑deadlines med nationella prioriteringar.

Övergripande tidsramar: transponering senast 17 okt 2024 och tillämpning 18 okt 2024. Peer review‑metodik fastställdes 17 jan 2025. Listan över entities ska publiceras senast 17 apr 2025 och uppdateras minst vartannat år.

Vi prioriterar åtgärder där impact och risk är högst. Det innebär snabba insatser för kritiska services och systems, och tidiga report‑rutiner mot authority.

• Ta fram en nationell list och definiera scope för svenska entities.
• Organisera report‑ och notification‑flöden till svensk authority och CSIRT.
• Bygga kapacitet för peer reviews och tillsyn, inklusive verktyg och kompetens.
• Integrera standards och evidenskrav i kontroller och intern revision.

Vi säkerställer att companies med verksamhet i flera länder möter varierande krav genom harmoniserade processer som klarar strängaste notification‑tidsfrister.

”Fokus på rätt scope och en uppdaterad list över entities ger störst effekt på kort sikt.”

Slutsats

Vi summerar hur tydlig styrning, riskbaserade åtgärder och mätbar rapportering tillsammans skyddar kritiska tjänster. Vår metod hjälper entities att möta directive‑krav med konkreta measures för bättre cybersecurity och security i drift.

Ledningens management och kontinuerlig mätning gör att incident‑hantering och notification blir snabbare och mer träffsäker. Vi använder information och evidens, ENISA‑vägledning och standards för att stärka report‑kedjan mot authority och providers.

Rätt avgränsat scope för services och systems minskar risk och underlättar efterlevnad. Vi rekommenderar regelbunden testning, uppdaterad list över beroenden och löpande förbättring för att skydda verksamheten och samhället.

FAQ

Vad är syftet med vår vägledning för NIS2 och vilka aktörer berörs?

Vi beskriver hur svenska företag och leverantörer kan stärka cybersäkerheten enligt direktivet. Vårt fokus ligger på både kritiska samhällstjänster och viktiga kommersiella verksamheter, det vill säga så kallade essential och important entities, samt digitala tjänsteleverantörer och andra service providers som levererar nätverks- eller informationssystemstjänster.

Hur fastställer vi omfattningen av skyddet för informationssystem och tjänster?

Vi genomför en strukturerad inventering av information systems, tjänster och beroenden för att definiera scope och prioritera åtgärder. Detta inkluderar kartläggning av mottagare av tjänster (recipients of services), tredjepartsrisker och kritiska leverantörskedjor.

Vilka riskhanteringsmetoder rekommenderar vi?

Vi använder en tydlig Risk Management Methodology som täcker riskbedömning, risk treatment plan och acceptanskriterier. Metoden kombinerar sannolikhets- och konsekvensbedömningar med kontinuerlig övervakning samt kopplade korrigerande åtgärder.

Vilka tekniska och organisatoriska åtgärder bör införas enligt artikel 21?

Vi rekommenderar en mix av policies, åtkomstkontroll, kryptografi, sårbarhetshantering, säker utveckling och incidenthantering. Åtgärderna utformas som ”all-hazards” och bygger på internationella standards för informationssäkerhet.

Hur hanterar vi leverantörs- och leveranskedjerisker?

Vi ställer krav i avtal, genomför löpande uppföljning och bedömer tredjepartsrisker i leverantörsportföljen. Detta inkluderar krav på leverantörers säkerhetsnivå, revisioner och kontinuitetsplaner för kritiska tjänster.

Vad innebär rapporteringsskyldigheten vid en incident?

Vi beskriver notification-flöden från early warning till slutrapport, inklusive tidslinjer, trösklar och vilka typer av rapporter som krävs. Kommunikation sker mot CSIRT, nationell myndighet och berörda recipients of services enligt gällande regelverk.

Hur skiljer sig NIS2:s krav från andra EU-akter som DORA och Cyber Resilience Act?

Vi förklarar relationerna mellan regelverken och hur kraven kompletterar varandra. DORA fokuserar på finansiell sektorens operativa motståndskraft, medan Cyber Resilience Act berör produkt- och leverantörssäkerhet. Tillsammans kräver de samordnade styrformer i organisationen.

Hur säkerställer vi ledningens engagemang och ansvar enligt artikel 20?

Vi föreslår en styrmodell där styrelse och ledning har tydliga roller, utbildning och ansvarsskyldighet. Vi rekommenderar formella mandat, regelbundna ledningsgenomgångar och bevis för efterlevnad genom KPI:er och internrevisioner.

Vilka förändringar medför Implementing Regulation (EU) 2024/2690 för digitala leverantörer?

Vi går igenom de tekniska och metodologiska krav som påverkar plattformar och leverantörer samt definitionen av “significant incident”. Detta påverkar rapportering, spårbarhet och leverantörernas interna kontroller.

Hur använder vi ENISA:s vägledning och internationella standards i vårt arbete?

Vi mappade relevanta rekommendationer mot etablerade standarder för att skapa praktiska kontrollramar. ENISA:s stödmaterial hjälper oss att prioritera åtgärder och säkerställa kompatibilitet med gällande best practice.

Hur startar vi projektet praktiskt med ledningsstöd och utbildning?

Vi initierar med att säkra budget, mandat och roller, följt av grundläggande cybersecurity training för ledning och nyckelpersoner. Detta kickstartar arbetet med styrning, riskbedömning och tydliga leverabler.

Vad ingår i en gap-analys för att bedöma nuläget?

En gap-analys innehåller inventering av system, identifiering av skyddsbehov, bedömning mot regelkrav och standarder samt prioritering av åtgärder. Resultatet ligger till grund för risk treatment plan och roadmap.

Vilka KPI:er och mätvärden rekommenderar vi för kontinuerlig styrning?

Vi föreslår mätvärden för incidentfrekvens, upptäckts- och återställningstider, patchstatus, tredjepartsbedömningar samt ledningens genomgångsaktiviteter. Dessa KPI:er stöder internrevision och förbättringscykel.

Hur definierar vi och hanterar vi ”significant incidents” i praktiken?

Vi använder kriterier baserade på påverkan på tillgänglighet, konfidentialitet och integritet samt påverkan på mottagare av tjänster och samhällsviktiga funktioner. Vid betydande incident krävs snabb notification och strukturerad utredning.

Hur tar vi hänsyn till varierande nationella krav inom EU vid tillämpning i Sverige?

Vi följer transponering och nationell praxis och anpassar vår modell efter lokala myndigheters tolkning. Vi använder ECSO:s tracker och andra resurser för att jämföra och justera compliance-aktiviteter.

Vad innehåller en robust roadmap och tidslinje för svenska aktörer?

Roadmapen prioriterar initiala riskreducerande åtgärder, lagstadgade rapporteringskrav och leverantörssäkerhet. Vi anger milstolpar för gap-analys, tekniska förbättringar, utbildning och verifiering genom internrevision.