NIS2 Molntjanster: Krav pa Molnleverantorer och Kunder

Vilka krav har NIS2-kunder pa sin molnleverantor?

Artikel 21(2)(d) kraver att organisationer "bedomer och vidtar lampliga atgarder" gallande sakerheten i sin leveranskedja. Enligt EY Global Cybersecurity Leadership Insights, 2024, rapporterar 62 % av foretag att tredjepartsrisker ar deras storsta cybersakerhetsorsakoro. For molntjanster innebar det fyra specifika skyldigheter.

1. Due diligence vid val av molnleverantor

Innan ni valjer eller fornyar ett molnavtal ska ni genomfora en formell sakerhetsbedomning. Granska leverantorens certifieringar (ISO 27001, SOC 2 Type II, CSA STAR). Begaran tillgang till deras senaste penetrationstestrapporter. Verifiera att de har en dokumenterad incidenthanteringsprocess.

2. Avtalsreglering av sakerhetskrav

NIS2 kraver att sakerhetsforvantiningar regleras kontraktuellt. Ert molnavtal bor innehalla:

• Definierade sakerhetsnivaer (SLA:er for tillganglighet, patchningstider, krypteringskrav)
• Incidentnotifiering: hur snabbt leverantoren informerar er om sakerhetsincidenter
• Revisionsrattigheter: ert ratt att granska eller lata granska leverantorens sakerhet
• Subprocessorer: villkor for leverantorens anvandning av underleverantorer
• Datahantering vid avtalets upphordande: hur data returneras eller raderas

3. Lopande overvakning

Due diligence ar inte en engangsakttivitet. NIS2 kraver lopande riskhantering, vilket innebar att ni regelbundet ska granska leverantorens sakerhetsstatus. Begara uppdaterade compliance-rapporter, folj upp incidenter och utvvardera om leverantoren fortfarande uppfyller era krav.

4. Incidenthanteringssamordning

Nar en incident intraffar hos er molnleverantor behover ni en etablerad process for hur information floder mellan leverantoren och er. Definiera kontaktpersoner, kommunikationskanaler och eskaleringsnivaer i forvasg.

[PERSONAL EXPERIENCE] I var erfarenhet ar avtalsregleringen den svagaste lanken. Manga svenska foretag anvander standardavtal fran molnleverantorer utan att forhandla sakerhetsbilagor. For storre leverantorer som AWS, Azure och GCP ar standardavtalen ofta robusta, men for mindre nischade molntjanster saknas ofta incidentnotifiering och revisionsrattigheter.

Hur valjer ni en NIS2-kompatibel molnpartner?

Att valja molnpartner under NIS2 kraver en strukturerad utvardaring. Enligt Gartner, 2024, utvardeerar de flesta organisationer 2-3 leverantorer innan beslut. Har ar de viktigaste kriterierna att bedoma.

Certifieringar och compliance-dokumentation

Krav SOC 2 Type II-rapport (inte bara Type I). Granska ISO 27001-certifikatets omfattning, den ska tacka de tjanster ni anvander. CSA STAR-certifiering (Cloud Security Alliance) visar molnspecifik sakerhetsmognad. For europeiska leverantorer ar EUCS (EU Cloud Certification Scheme) under utveckling och kommer bli alltmer relevant.

Datalokalisering och jurisdiktion

Var lagras och behandlas er data? NIS2 staller inga explicita krav pa datalokalisering, men praktiska overvaganden som tillsynsmyndigheters tillgang, GDPR-krav och latens gor EU-baserad lagring foredraget. Kontrollera att leverantoren erbjuder regioner inom EU och helst inom Sverige eller Norden.

Incidenttransparens

Hur hanterar leverantoren incidenter? Har de en offentlig statussida? Vilken SLA galler for incidentnotifiering? De basta leverantorerna erbjuder notifiering inom 1-2 timmar for allvarliga incidenter, vilket ger er tillracklig tid for NIS2:s 24-timmars rapportering.

Teknisk sakerhetskapacitet

Erbjuder leverantoren inbyggda sakerhets-tjanster som hotdetektering, krypteringshantering, atkomstkontroll och natverkssakerhet? Molnleverantorer med starka inbyggda sakerhetstjanster gorger det lattare for er att uppfylla NIS2:s tekniska krav.

> Citationskapsel: Vid val av molnpartner under NIS2 bor organisationer krava SOC 2 Type II-rapport, ISO 27001-certifiering, dokumenterad incidentnotifierings-SLA och revisionsrattigheter i avtalet. Enligt EY rapporterar 62 % av foretag att tredjepartsrisker ar deras storsta cybersakerhetsoro.

[UNIQUE INSIGHT] En ofta forbisedd aspekt vid val av molnpartner ar exit-strategin. NIS2 kraver driftkontinuitet, och om er molnleverantor gar i konkurs, tappar en kritisk certifiering eller bryter mot NIS2 behover ni kunna migrera. Krav en dokumenterad exit-plan med dataportabilitet och overgangsstod som del av ert avtal.

[INTERNAL-LINK: AWS managed services - /sv/aws-managed-service-provider/]

[INTERNAL-LINK: Azure managed services - /sv/azure-managed-service-provider/]

Hur paverkar shared responsibility-modellen NIS2-compliance?

Shared responsibility ar molnbranschens grundprincip for ansvarsfordelning, men NIS2 komplicerar bilden. Enligt Cloud Security Alliance, 2024, ar oklar ansvarsfordelning den vanligaste orsaken till sakerhetsincidenter i molnmiljoer. Under NIS2 far det konsekvenser.

Problemet ar att shared responsibility-modellen ar en teknisk fordelning, medan NIS2 staller juridiska krav pa den som anvander tjansten. Aven om er molnleverantor "ansvarar" for hypervisor-sakerhet enligt sin modell, ar det ni som maste visa for er tillsynsmyndighet att risken ar hanterad. Ansvaret for compliance kan inte outsourcas, aven om det tekniska arbetet kan det.

I praktiken innebar det att ni maste:

• Dokumentera ansvarsfordelningen skriftligt i ert avtal
• Verifiera att leverantoren uppfyller sin del genom certifieringar och rapporter
• Implementera och dokumentera era egna kontroller for er del
• Ha en samlad bild over hela compliance-statusen for bade er och leverantorens ansvar

[ORIGINAL DATA] I vart arbete med svenska NIS2-foretag ar den vanligaste fragan: "Vi korer i AWS/Azure, ar vi da compliant?" Svaret ar konsekvent nej. Molnleverantoren ger er verktygen, men ni maste anvanda dem korrekt. Vi ser att ungefar 40 % av NIS2-relevanta sakerhetsbrister finns i kundkonfigurationen, inte i leverantorens infrastruktur.

Vanliga fragor om NIS2 och molntjanster

Omfattas SaaS-leverantorer som Salesforce och ServiceNow av NIS2?

Ja, SaaS-leverantorer som erbjuder molntjanster klassas som vasentliga entiteter under NIS2 om de uppfyller definitionen av "molntjanstleverantor". For er som kund innebar det att ni maste bedoma deras sakerhet som del av er leveranskedja, precis som for IaaS- och PaaS-leverantorer.

Maste vi byta molnleverantor om de inte ar NIS2-kompatiblakomplianta?

Inte nodvandigtvis. Borja med att kommunicera era krav och ge leverantoren tid att anpassa sig. Om leverantoren inte kan eller vill uppfylla rimliga sakerhets- och dokumentationskrav bor ni dock planera for byte. NIS2 kraver att ni aktivt hanterar leveranskedjerisken. Enligt ENISA, 2024, planerar 35 % av europeiska foretag att utvvardera sina molnavtal till foljd av NIS2.

Hur hanterar vi multi-cloud-miljoer under NIS2?

Multi-cloud okar komplexiteten. Ni behover separata ansvarsfordelningar, certifieringsgranskningar och avtalsregleringar for varje leverantor. Anvand ett gemensamt ramverk (till exempel NIST CSF 2.0 eller ISO 27001) som grund for att jamfora och aggregera compliance over plattformar.

[INTERNAL-LINK: NIS2 AWS-guide - /sv/blogs/nis2-aws-compliance-mappning-svenska-foretag/]

[INTERNAL-LINK: NIS2 Azure-guide - /sv/blogs/nis2-azure-compliance-krav-microsoft-miljo/]

Vilka avtalspunkter ar mest kritiska for NIS2?

Incidentnotifierings-SLA (maximal tid for leverantoren att informera er), revisionsrattigheter (ert ratt att granska sakerhet), datalokaliseringsgarantier och villkor for underleverantorer. Dessa fyra punkter saknas oftast i standardavtal och bor forhandlas specifikt.

Galler NIS2 om vi anvander en molntjanst utanfor EU?

Ja, era NIS2-skyldigheter galler oavsett var molntjansten ar placerad. Om ni ar en vasentlig eller viktig entitet under NIS2 maste ni sakerstalla att aven icke-EU-leverantorer uppfyller lampliga sakerhetsnivaer. I praktiken kan det vara svarare att fa tillgang till compliance-dokumentation fran leverantorer utanfor EU.

Sammanfattning och nasta steg

NIS2 skapar ett dubbelriktat ansvar for molntjanster. Leverantorer har direkta skyldigheter som vasentliga entiteter. Kunder har skyldigheter att granska, kravstalla och lopande overvaka sina molnleverantorer. Nyckeln ar avtalsreglering, due diligence och en tydlig forstaelse for shared responsibility-modellen.

Borja med att granska era befintliga molnavtal mot NIS2-kraven. Identifiera luckor i incidentnotifiering, revisionsrattigheter och sakerhetsbilagor. For plattformsspecifik compliance-vagledning, las vara guider for AWS och Azure. For den fullstandiga oversikten av NIS2-direktivet, se var NIS2-pilarsida.

[INTERNAL-LINK: NIS2 digital infrastruktur - /sv/blogs/nis2-digital-infrastruktur-dns-ixp-molntjanster/]