Tidslinjen för svensk implementering

Sverige är inte först i EU med att implementera direktivet. Flera medlemsstater, däribland Belgien och Kroatien, har redan nationell lagstiftning på plats. Det betyder att svenska organisationer med verksamhet i andra EU-länder redan kan vara skyldiga att följa lokala NIS2-implementeringar.

Opsios rekommendation: Vänta inte på propositionen. De tekniska och organisatoriska kraven är tydliga redan i direktivtexten och SOU 2024:18. Organisationer som börjar med gapanalys nu slipper panikåtgärder när lagen väl träder i kraft.

Vilka organisationer omfattas?

NIS2 inför två kategorier: väsentliga verksamheter (essential entities) och viktiga verksamheter (important entities). Skillnaden påverkar tillsynsintensitet och sanktionsnivåer, men kraven på säkerhetsåtgärder är i princip desamma.

Sektorer i NIS2

Storlekströsklar

Generellt gäller att organisationer med minst 50 anställda eller minst 10 MEUR i årsomsättning faller inom direktivets räckvidd. Men — och det här är viktigt — kritisk infrastruktur och DNS-tjänster, tillitsleverantörer samt telekomleverantörer kan omfattas oavsett storlek.

En detalj som ofta missas: MSP:er som levererar tjänster till väsentliga verksamheter kan själva omfattas som ICT-tjänstehanterare. Det gäller potentiellt Opsio och alla andra managerade tjänsteleverantörer i Sverige. Vi tar det ansvaret på allvar.

Managerade molntjänster

De centrala kraven: vad NIS2 faktiskt kräver

1. Riskhantering och säkerhetsåtgärder (artikel 21)

NIS2 specificerar tio minimiåtgärder som alla berörda organisationer ska vidta. Det är inte förslag — det är krav:

• Riskanalys och säkerhetspolicyer för informationssystem
• Incidenthantering — detektering, analys, begränsning och återhämtning
• Kontinuitetshantering och krishantering, inklusive backup
• Leveranskedjesäkerhet — bedömning av direktleverantörer och tjänsteleverantörers säkerhetsnivå
• Säkerhet vid anskaffning, utveckling och underhåll av system
• Policyer och rutiner för kryptering
• Personalsäkerhet, åtkomstkontroll och tillgångshantering
• Multifaktorautentisering och säkrad kommunikation
• Utbildning i cybersäkerhet — särskilt för ledningen
• Rutiner för att bedöma effektiviteten i säkerhetsåtgärderna

Vad vi ser i praktiken: de flesta svenska organisationer har delar av detta på plats, men få har det sammanhållet dokumenterat och systematiskt utvärderat. Gapet mellan "vi gör det nog" och "vi kan visa att vi gör det" är ofta avgrundsdjupt.

Molnsäkerhet

2. Ledningens ansvar

Det här är den punkt som väcker mest uppmärksamhet i styrelser — och med rätta. NIS2 kräver att ledningsorgan godkänner säkerhetsåtgärderna, övervakar genomförandet och kan hållas ansvariga för brister. Ledningen ska dessutom genomgå utbildning i cybersäkerhet.

Det innebär i praktiken att:

• Cybersäkerhet inte längre kan delegeras till IT-avdelningen och glömmas bort
• Styrelseprotokoll behöver visa att säkerhetsfrågor behandlas regelbundet
• CISO:ns rapporteringsväg till ledningen måste vara formaliserad

3. Incidentrapportering (artikel 23)

NIS2 standardiserar rapporteringstiderna:

Dessa tidsfrister börjar löpa från det att organisationen blir medveten om incidenten. Det förutsätter att ni har övervakningskapacitet som faktiskt detekterar incidenter. Utan kontinuerlig övervakning — exempelvis via ett SOC — riskerar ni att bli medvetna först när skadan redan spridit sig, och rapporteringsfönstret har i praktiken redan börjat ticka.

Managerad DevOps

Tillsyn och sanktioner

MSB:s roll

Myndigheten för samhällsskydd och beredskap (MSB) får det nationella samordningsansvaret och agerar kontaktpunkt gentemot EU. MSB kommer att:

• Samordna mellan sektorsmyndigheter
• Hantera den svenska CSIRT-funktionen
• Rapportera till ENISA (EU:s cybersäkerhetsbyrå)

Sektorsmyndigheter

Tillsynen utövas av sektorsvisa myndigheter — exempelvis Energimyndigheten för energisektorn, Transportstyrelsen för transportsektorn och IVO för hälso- och sjukvård. Dessa myndigheter kan utfärda bindande föreskrifter, genomföra revisioner och besluta om sanktioner.

Sanktionsnivåer

Utöver ekonomiska sanktioner kan tillsynsmyndigheter utfärda förelägganden om åtgärder och — i allvarliga fall — tillfälligt förbjuda ledningspersoner att utöva sina funktioner. Det sistnämnda är nytt och signalerar tydligt att EU menar allvar med ledningsansvaret.

Praktisk handlingsplan: fem steg mot NIS2-efterlevnad

Steg 1: Fastställ om ni omfattas

Kartlägg er verksamhet mot sektorlistorna i Bilaga I och II. Glöm inte dotterbolag och stödfunktioner som kan falla inom ramen.

Steg 2: Genomför en gapanalys

Mappa era befintliga säkerhetsåtgärder mot artikel 21:s tio minimiåtgärder. Var ärliga — identifiera inte bara vad ni gör utan vad ni kan visa att ni gör. ISO/IEC 27001-certifiering ger en bra grund men täcker inte allt NIS2 kräver.

Steg 3: Förankra i ledningen

Säkerställ att styrelse och VD förstår sitt personliga ansvar. Inför regelbundna säkerhetsuppdateringar på styrelsens agenda. Dokumentera beslut och uppföljning.

Steg 4: Bygg rapporteringsförmåga

Etablera processer som möjliggör rapportering inom 24 timmar. Det kräver detektionskapacitet dygnet runt — antingen ett internt SOC eller en managerad SOC-tjänst.

Cloud FinOps

Steg 5: Granska leveranskedjan

Inventera era kritiska leverantörer och tjänsteleverantörer. Ställ krav på deras säkerhetsarbete genom avtal. NIS2 förutsätter att ni har koll på hela kedjan — inte bara er egen organisation.

Molnmigrering

Kopplingen till andra regelverk

NIS2 existerar inte i ett vakuum. Organisationer som omfattas behöver hantera överlappningar med:

• GDPR — personuppgiftsincidenter som också är NIS2-incidenter kräver parallell rapportering till IMY respektive sektorsmyndigheten
• CER-direktivet — för fysisk motståndskraft hos kritisk infrastruktur
• DORA — för finanssektorn specifikt
• ISO/IEC 27001 — ger en strukturell grund men är inte automatisk NIS2-efterlevnad
• NIST CSF — kan användas som komplement för riskhanteringsramverk

Opsios perspektiv: vad vi ser i verkligheten

Från vår SOC/NOC-verksamhet med 24/7-bemanning i Karlstad och Bangalore ser vi dagligen hur svenska organisationer brottas med just de utmaningar NIS2 adresserar. Tre observationer:

Detektionstiden är fortfarande för lång. Många organisationer saknar realtidsövervakning, vilket gör 24-timmarsrapportering till en chimär. Investera i detektionskapacitet innan ni investerar i policydokument.

Leveranskedjan är blinda fläcken. De flesta har koll på sina egna system men saknar systematisk bedömning av leverantörers säkerhet. En komprometterad underleverantör kan bli er NIS2-incident.

Dokumentation underskattas. Tillsynsmyndigheter kommer att granska processer och bevis, inte bara tekniska kontroller. Om det inte är dokumenterat, existerar det inte i tillsynens ögon.

Vanliga frågor

Vilka organisationer omfattas av NIS2 i Sverige?

Direktivet omfattar väsentliga och viktiga verksamheter inom 18 sektorer, inklusive energi, transport, hälso- och sjukvård, dricksvattenförsörjning, digital infrastruktur och offentlig förvaltning. Storlekströskeln ligger generellt vid minst 50 anställda eller 10 MEUR i omsättning, men kritisk infrastruktur kan omfattas oavsett storlek.

När träder NIS2 i kraft som svensk lag?

SOU 2024:18 lade grunden. Lagrådsremiss skickades i juni 2025, och en proposition väntas under 2025–2026. Organisationer bör redan nu arbeta med gapanalyser och åtgärdsplaner — vänta inte på det formella ikraftträdandet.

Vad händer om vi inte uppfyller NIS2-kraven?

Sanktionsavgifter kan nå upp till 10 MEUR eller 2 % av global årsomsättning för väsentliga verksamheter, och 7 MEUR eller 1,4 % för viktiga verksamheter. Utöver böter kan tillsynsmyndigheter utfärda förelägganden och i allvarliga fall förbjuda ledningspersoner att utöva sina funktioner.

Hur skiljer sig NIS2 från det ursprungliga NIS-direktivet?

NIS2 breddar sektorsomfattningen avsevärt, inför tydligare storlekskriterier, skärper ledningens personliga ansvar, standardiserar incidentrapportering med fasta tidsfrister och höjer sanktionsnivåerna markant. Dessutom ställs krav på leveranskedjesäkerhet som saknades i NIS1.

Behöver vi en SOC för att uppfylla NIS2?

Direktivet kräver inte uttryckligen ett Security Operations Center, men den kontinuerliga övervakning, incidentdetektering och snabba rapportering som NIS2 förutsätter är i praktiken svår att upprätthålla utan SOC-kapacitet — antingen intern eller via en managerad tjänsteleverantör.