NIS2: Vad svenska företag måste göra innan deadline 2026

Vad är NIS2 och varför är det viktigt?

NIS2 (Network and Information Systems Directive 2) är en uppdaterad version av det ursprungliga NIS-direktivet från 2016. Det antogs av Europaparlamentet i december 2022 med syfte att etablera och upprätthålla en hög cybersäkerhetsnivå för verksamheter som levererar samhällskritiska och samhällsviktiga tjänster inom EU. För Sverige innebär detta att en ny cybersäkerhetslag träder i kraft den 15 januari 2026, men företag måste vara förberedda långt tidigare.

Till skillnad från den tidigare versionen omfattar NIS2 betydligt fler sektorer och verksamheter. Direktivet ställer tydligare krav på riskanalyser, säkerhetsåtgärder och incidentrapportering. Det inför även strängare tillsynsmekanismer och högre sanktionsavgifter för de som inte uppfyller kraven.

Vilka sektorer och verksamheter omfattas?

NIS2-direktivet delar in berörda verksamheter i två huvudkategorier: de som tillhandahåller samhällskritiska tjänster och de som tillhandahåller samhällsviktiga tjänster. Denna uppdelning påverkar både tillsynsprocessen och potentiella sanktioner.

Samhällskritiska tjänster omfattar sektorer som:

• Energi
• Transporter
• Bank- och finansmarknadsinfrastruktur
• Hälso- och sjukvård
• Dricks- och avloppsvatten
• Digital infrastruktur
• Förvaltning av IKT-tjänster (B2B)
• Offentlig förvaltning
• Rymdindustri

Samhällsviktiga tjänster omfattar sektorer som:

• Tillverkning, produktion och distribution av kemikalier
• Produktion, bearbetning och distribution av livsmedel
• Forskning
• Digitala leverantörer
• Post- och budtjänster
• Avfallshantering

Värt att notera är att en organisation kan tillhandahålla tjänster som ingår i flera sektorer samtidigt, vilket kan påverka hur NIS2 krav tillämpas i verksamheten.

Centrala NIS2 krav för svenska företag

NIS2-direktivet ställer omfattande krav på berörda verksamheter. Här är de viktigaste områdena som svenska företag måste adressera:

1. Ledningens ansvar och utbildning

Ledningen för verksamheter som omfattas av NIS2 har ett direkt ansvar för cybersäkerheten. De måste genomgå utbildning om säkerhetsåtgärder och kan vid allvarliga överträdelser bli föremål för ledningsförbud. Detta innebär att ledningen måste ha tillräcklig kompetens för att godkänna och övervaka genomförandet av säkerhetsåtgärder.

2. Systematiskt och riskbaserat säkerhetsarbete

Verksamheter måste implementera lämpliga tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem. Detta motsvarar i praktiken ett ledningssystem för informationssäkerhet (LIS) som följer standarder som ISO 27001.

3. Incidentrapportering

NIS2 inför ett strikt rapporteringssystem för betydande incidenter i tre steg:

• Tidig varning inom 24 timmar efter upptäckt
• Incidentanmälan med inledande bedömning inom 72 timmar
• Slutrapport inom en månad, alternativt lägesrapport om incidenten fortfarande pågår

4. Kontinuitetshantering

Verksamheter måste ha kontinuitetsplaner (BCP) för att säkerställa fortsatt leverans av tjänster vid incidenter eller avbrott. Dessa planer ska även omfatta återställningsplaner (DRP) för kritisk infrastruktur och system.

Säkerhetsåtgärder enligt NIS2

Cybersäkerhetslagen kräver att verksamheter vidtar lämpliga och proportionella säkerhetsåtgärder baserade på ett allriskperspektiv. Dessa åtgärder ska åtminstone omfatta:

Styrande säkerhetsåtgärder

• Strategier för riskanalys
• Policys för nätverks- och informationssäkerhet
• Strategier för att bedöma effektiviteten i säkerhetsåtgärderna
• Strategier för kryptografi och kryptering

Operativa säkerhetsåtgärder

• Incidenthantering
• Kontinuitetshantering och krishantering
• Säkerhet i leveranskedjan
• Säkerhet vid förvärv, utveckling och underhåll

Personalsäkerhet

• Grundläggande praxis för cyberhygien
• Utbildning i cybersäkerhet
• Personalsäkerhet och bakgrundskontroller
• Strategier för åtkomstkontroll

Tekniska säkerhetsåtgärder

• Lösningar för autentisering
• Säkrade kommunikationer
• Säkrade nödkommunikationssystem
• Tillgångsförvaltning

Implementeringsprocess i fem steg

För att effektivt implementera NIS2 krav rekommenderar vi en strukturerad process i fem steg:

1. Utbilda ledningen i cybersäkerhet

Ledningen måste förstå sitt ansvar och ha tillräcklig kunskap om säkerhetsåtgärder för att kunna fatta informerade beslut. Detta är ett explicit krav i cybersäkerhetslagen.

2. Identifiera system som påverkar samhällsviktiga tjänster

Genomför en kontextanalys för att identifiera vilka system och tjänster som omfattas av NIS2-direktivet och vilka risker som är förknippade med dessa.

3. Styr säkerhetsarbetet med policys

Utveckla och implementera de policys som krävs enligt NIS2, med särskilt fokus på den övergripande säkerhetspolicyn som ska styra hela säkerhetsarbetet.

4. Starta en förbättringsprocess

Implementera säkerhetsåtgärder genom ett kontinuerligt förbättringsarbete snarare än ett stort engångsprojekt. Använd internrevisioner för att styra förbättringsarbetet.

5. Etablera rutiner för incidentrapportering

Implementera rutiner för att snabbt kunna upptäcka, hantera och rapportera incidenter enligt de strikta tidsramar som anges i NIS2-direktivet.

Tillsyn och sanktioner

Tillsynsmyndigheterna ansvarar för att se till att cybersäkerhetslagen och relaterade föreskrifter följs. Tillsynen ser olika ut beroende på om verksamheten klassificeras som väsentlig eller viktig:

Tillsyn för väsentliga verksamhetsutövare

Väsentliga verksamhetsutövare (de som tillhandahåller samhällskritiska tjänster) granskas proaktivt och kontinuerligt av tillsynsmyndigheterna.

Tillsyn för viktiga verksamhetsutövare

För viktiga verksamhetsutövare (de som tillhandahåller samhällsviktiga tjänster) får tillsynsåtgärder bara vidtas när tillsynsmyndigheten har befogad anledning att anta att regleringen inte följs.

Sanktionsavgifter

Sanktionsavgifterna för överträdelser av NIS2 krav är betydande:

• För väsentliga verksamhetsutövare: Upp till 2% av global årsomsättning eller 10 miljoner euro
• För viktiga verksamhetsutövare: Upp till 1,4% av global årsomsättning eller 7 miljoner euro
• För offentliga verksamhetsutövare: Upp till 10 miljoner kronor

Vid allvarliga överträdelser kan tillsynsmyndigheten även ansöka om förbud för befattningshavare att inneha ledningsfunktion.

Praktiska tips för förberedelse

För att effektivt förbereda er verksamhet för NIS2 krav rekommenderar vi följande praktiska åtgärder:

1. Genomför en preliminär bedömning

Börja med att fastställa om er verksamhet omfattas av NIS2-direktivet och i vilken kategori (väsentlig eller viktig) ni hamnar. Detta är avgörande för att förstå vilka specifika krav som gäller för er.

2. Utvärdera nuvarande säkerhetsnivå

Genomför en gap-analys för att identifiera skillnaden mellan er nuvarande säkerhetsnivå och de krav som ställs i NIS2-direktivet. Detta ger en tydlig bild av vilka områden som behöver förbättras.

3. Utveckla en implementeringsplan

Baserat på gap-analysen, utveckla en detaljerad plan för hur ni ska implementera de nödvändiga säkerhetsåtgärderna. Prioritera åtgärder baserat på risk och komplexitet.

4. Säkerställ dokumentation

Dokumentera alla säkerhetsåtgärder, riskanalyser och beslut. Detta är inte bara viktigt för att visa efterlevnad vid tillsyn utan fungerar även som ett verktyg för analys och kontinuerlig förbättring.

5. Förbered för incidenthantering

Utveckla och testa rutiner för incidenthantering och rapportering för att säkerställa att ni kan uppfylla de strikta tidsramarna för rapportering av betydande incidenter.

Sammanfattning och nästa steg

NIS2-direktivet representerar en betydande skärpning av cybersäkerhetskraven för många svenska verksamheter. Med deadline 2025 är det avgörande att börja förberedelserna i god tid för att säkerställa efterlevnad och undvika potentiellt höga sanktionsavgifter.

Implementeringen av NIS2 krav bör ses som en möjlighet att stärka organisationens övergripande cybersäkerhet och operativa motståndskraft, inte bara som en regulatorisk börda. Genom att ta ett systematiskt och riskbaserat angreppssätt kan ni bygga en robust säkerhetsstruktur som skyddar både er verksamhet och de samhällsviktiga tjänster ni tillhandahåller.

Opsio är en leverantör av tjänster inom området. Vi hjälper dig och ditt företag att navigera genom komplexiteten i NIS2-direktivet och implementera de nödvändiga säkerhetsåtgärderna på ett effektivt sätt. Kontakta oss idag.