Vad är skillnaden mellan NIS1 och NIS2?

Är din organisation redo för nya krav på cybersäkerhet? Detta förändrar hur europeiska företag skyddar sin digitala infrastruktur. Det är viktigt att förstå dessa förändringar för alla som driver viktig verksamhet.

NIS direktivet kom 2018 för att sätta säkerhetskrav på kritiska nätverk. Men efter två år visade det sig att det inte räckte till. Digitaliseringen och cyberhoten växte för snabbt.

Det nya cybersäkerhetsdirektivet EU godkändes 2022. Det gör större krav och ger strängare ansvar för organisationer. Länderna har till den 17 oktober 2024 att göra dessa nya regler till lag.

Vi förklarar skillnaderna mellan NIS1 och NIS2. Vi analyserar hur det påverkar er verksamhet. Vi ger vägledning för att följa reglerna. Genom att förstå skillnaderna kan ni bygga stark digital motståndskraft.

Viktiga punkter att komma ihåg

• Det ursprungliga direktivet från 2018 var otillräckligt för dagens digitala hot och ersätts nu med ett mer omfattande ramverk
• Det uppdaterade ramverket godkändes i december 2022 och måste vara implementerat i svensk lagstiftning senast 17 oktober 2024
• Betydligt fler organisationer omfattas nu av de nya säkerhetskraven jämfört med tidigare regelverk
• Strängare ansvarsskyldigheter och sanktioner för ledningen införs för att säkerställa regelefterlevnad
• Kraven på incidentrapportering har skärpts med tydligare tidsramar och mer detaljerade rapporteringskrav
• Nya sektorer inkluderas nu som samhällsviktig verksamhet, vilket utökar tillämpningsområdet kraftigt

Introduktion till NIS-direktiven

EU arbetar för en säkrare digital värld genom NIS-direktiven. Detta direktiv är grund för cybersäkerhetslagstiftning i unionen. Det hjälper till att hantera komplexa cyberhot mot både offentliga och privata organisationer.

Genom att införa gemensamma digitala säkerhetsstandarder stärker EU medlemsstaternas försvar mot cyberattacker. Detta skapar ett harmoniserat ramverk.

För att förstå utvecklingen och konsekvenserna av dessa regler, måste vi förstå skillnaderna mellan det ursprungliga direktivet och dess efterföljare. Detta är viktigt för organisationer som navigerar det förändrade landskapet av EU cybersäkerhetskrav.

Det ursprungliga NIS-direktivet

NIS1 var Europeiska unionens första stora steg mot stärkt cybersäkerhet över gränserna. Det fokuserade på operatörer av samhällsviktiga tjänster i kritiska sektorer som är viktiga för samhället.

De sektorer som omfattades av det ursprungliga direktivet inkluderade:

• Energiförsörjning och distribution
• Transport och logistik
• Vattenförsörjning
• Bankverksamhet och finansiella infrastrukturer
• Hälso- och sjukvård
• Digital infrastruktur

Utöver dessa kritiska sektorer omfattade NIS1 även viktiga digitala tjänster. Detta inkluderade online-marknadsplatser, sökmotorer och molntjänstleverantörer. Direktivet etablerade säkerhetskrav och incidentrapporteringsskyldigheter.

Implementeringen av NIS1 visade dock på flera utmaningar. Medlemsstaterna tillämpade direktivet olika, vilket skapade inkonsistens. Detta ledde till luckor i den gemensamma cybersäkerheten och begränsade gränsöverskridande samarbete.

Den förbättrade versionen NIS2

NIS2 är en större utveckling av EU informationssäkerhet och löser problem med NIS1. Detta uppdaterade direktiv skapar en mer harmoniserad och effektiv cybersäkerhetsstandard över unionen.

En av de största förändringarna är det utökade tillämpningsområdet. NIS2 omfattar fler sektorer och organisationer än det ursprungliga direktivet. Det inkluderar nya kategorier som offentlig förvaltning, rymd, livsmedelsproduktion och tillverkning.

Direktivet ställer också striktare krav på cybersäkerhetslagstiftning. Det fastställer tydligare ansvar på ledningsnivå. Det innebär att företagsledningar nu har direkt ansvar för cybersäkerhetsefterlevnad.

Ytterligare förbättringar inkluderar:

• Harmoniserade regler för incidentrapportering med specifika tidsramar
• Fastställda sanktioner och böter för bristande efterlevnad
• Förbättrade mekanismer för informationsutbyte mellan medlemsstater
• Stärkt tillsyn och samordning på EU-nivå

NIS2 syftar till att täppa till luckor från det första direktivets implementering. Genom att säkerställa konsekvent tillämpning i alla medlemsstater skapas en mer robust grund för EU informationssäkerhet. Detta harmoniserade ramverk möjliggör effektivare gränsöverskridande samarbete och stärker unionens kollektiva motståndskraft mot cyberhot.

Den utökade omfattningen av EU cybersäkerhetskrav under NIS2 speglar den ökade digitaliseringen av samhället och de eskalerande hoten från alltmer sofistikerade cyberattacker. Vi förstår att denna utveckling kräver att organisationer anpassar sina säkerhetsstrategier och investerar i robust infrastruktur för att möta de nya standarderna.

Historik och bakgrund för NIS

Den europeiska säkerhetshistorien för nätverk och informationssystem har förändrats mycket de senaste åren. Digitaliseringen har skapat nya sårbarheter som kräver ständig anpassning. Detta har lett till NIS direktivet och dess efterföljare, som visar hur vi förstår de utmaningar moderna organisationer står inför.

För att förstå dagens cybersäkerhetskrav måste vi se tillbaka. Historien bakom NIS-direktiven ger värdefulla insikter. Den visar hur utveckling cybersäkerhet påverkats av teknologiska framsteg och digitala hot.

Från oro till handling – så föddes det första direktivet

NIS direktivet kom till cirka åtta år sedan som ett svar på ökande cyberhot. Attackerna mot kritisk infrastruktur ökade. Detta visade att EU säkerhetshistoria behövde nya ramverk och standarder.

Arbetet med NIS1 började på 2010-talet när EU-kommissionen insåg behovet av samordning. Diskussionerna fokuserade på att identifiera kritiska sektorer. Vi definierade operatörer av samhällsviktig tjänst och digitala tjänsteleverantörer som skulle omfattas.

Det första direktivet introducerade viktiga principer för cybersäkerhetslandskapet:

• Nationella strategier – Varje land skulle utveckla en säkerhetsstrategi för nätverk och informationssystem
• Behöriga myndigheter – En eller flera myndigheter skulle övervaka och upprätthålla direktivets krav
• Samarbetsgrupper – Ett nätverk för strategiskt samarbete mellan länder etablerades
• CSIRT-nätverk – Computer Security Incident Response Teams skulle samordna sina insatser

Vi såg hur dessa grundpelare skapade struktur för europeisk cybersäkerhet. Medlemsländerna identifierade operatörer inom åtta sektorer. Dessa inkluderade energi, transport, hälsovård, dricksvatten, digital infrastruktur, bank- och finansväsende samt marknadsinfrastruktur.

Under de första åren blev flera utmaningar tydliga. Medlemsländerna tolkade direktivet olika, vilket ledde till olika säkerhetsnivåer. Harmoniseringen blev inte så omfattande som tänkt.

Rapporteringsskyldigheten i NIS1 visade begränsningar. Tröskelvärden för incidentrapportering varierade, och processen var inte standardiserad. Detta gjorde det svårt att få en samlad bild av cybersäkerhetsläget i EU.

Den digitala tjänstesektorn växte snabbare än direktivet hade förutsett. Nya affärsmodeller och teknologier skapade sårbarheter som inte täcktes av NIS1.

Medlemsstaternas tillsynsmyndigheter hade olika resurser och mandat. Detta skapade skillnader i hur direktivet kunde implementeras. Vissa länder hade bra cybersäkerhetsorganisationer, andra kämpade med kompetens.

Trots utmaningar lade NIS1 grunden för gemensam förståelse av digitalisering säkerhetskrav i Europa. Det skapade ett ramverk för dialog och samarbete mellan länder, något som var viktigt när mer sofistikerade hot uppstod.

En ny era kräver starkare skydd

Bara två år efter NIS1 kunde vi se att det inte var tillräckligt. Cyberattackernas frekvens och sofistikering ökade kraftigt. Sektornas sammankoppling gjorde att en incident kunde få stora konsekvenser.

NIS2s tillkomst motiverades av flera faktorer. Den ökade digitaliseringen under pandemin accelererade behovet av säkerhetslösningar. Distansarbete och digitala tjänster blev normen över natten, vilket exponerade nya sårbarheter.

EU-kommissionen startade arbetet med ett reviderat förslag. Arbetet involverade konsultationer med länder, industri och experter. Syftet var att skapa ett direktiv som var mer omfattande och flexibelt för framtiden.

Det nya direktivet godkändes och trädde i kraft i december 2022. Syftet var att förbättra säkerhetsmotståndet för nätverk och informationssystem i hela EU. Det skulle också harmonisera säkerhetskrav mellan länder och täcka fler sektorer.

Implementeringsdatumet sattes till 17 oktober 2024. Det gav länderna 21 månader att införliva de nya kraven. Detta visar den omfattning som krävs för att anpassa strukturer och processer.

NIS2 utvidgar tillämpningsområdet betydligt jämfört med föregångaren. Nu omfattar digitalisering säkerhetskrav 18 sektorer istället för de ursprungliga åtta. Nya områden som avfallshantering, livsmedelsproduktion, kemikalier och rymdteknik inkluderas nu.

Direktivet introducerar en tvådelad kategorisering av enheter. Väsentliga enheter omfattar operatörer som är avgörande för kritiska samhällsfunktioner. Viktiga enheter inkluderar organisationer vars störning skulle ha betydande men inte katastrofala konsekvenser. Denna nyansering möjliggör proportionella krav baserade på enhetens påverkan.

Syftet med NIS2 sträcker sig bortom tekniska säkerhetsåtgärder. Viktig är att integrera cybersäkerhet i företagets ledning och styrning. Ledningens ansvar är nu explicit definierat, och företagsledare kan hållas personligt ansvariga för bristande efterlevnad.

Den förbättrade rapporteringsskyldigheten är en central del av NIS2. Tidsfristerna för rapportering av incidenter har förkortats. Detta gör att information om hot och sårbarheter kan delas effektivt mellan organisationer och över nationsgränserna.

Harmoniseringen av säkerhetskrav är viktig för organisationer som verkar i flera länder. NIS2 skapar enhetliga standarder för riskhantering, incidenthantering och kontinuitetsplanering. Detta förenklar efterlevnaden och minskar den administrativa bördan för multinationella företag.

Direktivets syfte inkluderar att främja en säkerhetskultur där utveckling cybersäkerhet ses som en kontinuerlig process. Vi uppmuntrar till proaktiva säkerhetsåtgärder, regelbundna säkerhetsrevisioner och investeringar i kompetensutveckling.

Supply chain-säkerhet är ett centralt fokusområde i NIS2. Vi erkänner att en organisations säkerhet är endast så stark som dess svagaste länk i leverantörskedjan. Direktivet kräver att organisationer utvärderar och hanterar risker kopplade till sina leverantörer och tjänsteleverantörer.

EU:s ambition är att NIS2 ska göra EU till en global ledare inom cybersäkerhet. Genom att skapa ett robust och harmoniserat ramverk vill vi skydda europeiska medborgare och företag. Vi vill också sätta en standard som kan inspirera liknande initiativ globalt.

Centrala skillnader mellan NIS1 och NIS2

Det finns stora skillnader mellan NIS1 och NIS2. De handlar om vilka verksamheter som omfattas och hur de klassificeras. NIS2 är en större förändring av cybersäkerhetskraven i EU.

Den största skillnaden är i omfattning direktiv. Nu måste fler organisationer följa de nya kraven. Detta gör att mer av den digitala ekonomin skyddas.

Omfattning och tillämpningsområde

NIS1 riktade sig till två huvudgrupper. Den första var samhällsviktiga tjänster som energi och hälso- och sjukvård. Den andra var digitala tjänster som internetbaserade marknadsplatser.

NIS2 gör en större omfattning. Det delar in verksamheter i väsentliga entiteter och viktiga entiteter. Detta ger en mer detaljerad riskhantering.

Med NIS2 omfattas fler sektorer. Det inkluderar nya områden som avlopps- och avfallshantering. Detta skyddar mer av den digitala ekonomin.

• Avlopps- och avfallshantering
• Fjärrvärme eller fjärrkyla
• Livsmedelssektorn
• Offentlig förvaltning
• Tillverkningsindustri
• Postverksamhet
• Rymdverksamhet
• Utökad digital infrastruktur

Detta innebär att fler organisationer måste ha starka säkerhetsåtgärder. Detta skyddar den digitala infrastrukturen i hela EU.

En stor skillnad är hur verksamheter väljs ut. NIS1 lät medlemsstaterna bestämma. Men NIS2 kräver en enhetlig metod över hela EU.

Detta gör att säkerhetskraven blir mer konsekvent. Detta eliminerar ojämlikheter mellan länder.

Definitioner av viktiga termer

Terminologin har förändrats mycket mellan NIS1 och NIS2. NIS1 använde enkel klassificering. Men NIS2 har mer detaljerade definitioner.

NIS2 delar in verksamheter i väsentliga entiteter och viktiga entiteter. Detta gör att säkerhetskraven blir mer anpassad.

Storlekskriterier har också blivit tydligare. NIS2 har specifika tröskelvärden. Detta gör det lättare för organisationer att veta om de omfattas.

Jämförelsepunkt	NIS1	NIS2
Kategorisering	OES (Operators of Essential Services) och DSP (Digital Service Providers)	Väsentliga entiteter och Viktiga entiteter
Antal sektorer	7 samhällsviktiga sektorer plus digitala tjänster	15+ sektorer inklusive nya områden som livsmedel och rymdverksamhet
Urvalsprocess	Medlemsstaterna bestämmer själva vilka aktörer som omfattas	Harmoniserade kriterier tillämpas konsekvent över hela EU
Storlekskriterier	Vaga definitioner med stor tolkningsfrihet	Tydliga tröskelvärden för antal anställda och omsättning
Geografisk tillämpning	Varierande mellan medlemsstater	Enhetlig tillämpning över hela EU-området

Definitionen av cyberincident har blivit tydligare. NIS2 kräver detaljerad klassificering. Detta gör att tillsynsmyndigheter kan reagera snabbare.

Begreppet leveranskedja är viktigare nu. NIS2 ser till att hela värdekedjan skyddas. Detta är viktigt i dagens digitala värld.

Definitionen av kritiska tjänster har också utvidgats. NIS2 tar hänsyn till fler aspekter. Detta ger en mer komplett riskbild.

Krav på cybersäkerhet i NIS1 och NIS2

EU har stärkt cybersäkerhetskraven från NIS1 till NIS2. Det påverkar hur organisationer arbetar med säkerhet. NIS2 inför mer strikta regler, vilket gör säkerheten mer enhetlig i Europa.

De nya reglerna i NIS2 visar att man förstår cybersäkerhetens komplexitet bättre. Det ger organisationer möjlighet att bygga starka säkerhetsstrukturer. Detta skyddar kritisk infrastruktur och verksamhetskontinuitet.

Tolkningsbara säkerhetsåtgärder under NIS1

Under NIS1 var säkerhetsåtgärder direktiv mer flexibla. Det ledde till olika säkerhetsnivåer i olika länder. Det skapade sårbarheter i det europeiska cybersäkerhetslandskapet.

De tekniska säkerhetskrav i NIS1 var generella. Det gav organisationer stort utrymme att tolka reglerna. Det var svårt att uppnå en enhetlig säkerhetsnivå i hela unionen.

Det påverkade även organisatorisk säkerhet. Företag kunde välja olika metoder för riskbedömning. Det skapade komplexitet för organisationer som verkar i flera länder.

Konkreta och förstärkta krav i NIS2

NIS2 höjer säkerhetsnivån för alla organisationer. Det gör fler säkerhetsåtgärder obligatoriska. Det skapar en mer enhetlig säkerhetsnivå i Europa.

De nya kraven i NIS2 omfattar viktiga områden. Det skapar ett starkare säkerhetsramverk. Det kräver konkreta åtgärder som höjer säkerhetsstandarden.

NIS2 ställer krav på följande områden:

• Riskhantering: Dokumenterade planer för att hantera risker. Regelbundna säkerhetskontroller för att verifiera åtgärder.
• Kryptering: Skydd av kommunikationstjänster för att skydda känslig information.
• Säkerhetstester: Regelbundna penetrationstester för att identifiera svagheter.
• Incidenthantering: Robusta processer för att hantera cybersäkerhetsincidenter.

Organisationer måste ha omfattande cybersäkerhetspolicyer. De ska vara anpassade till varje organisations riskprofil. Det innebär att lösningarna ska vara proportionerliga och kunna skalas upp.

NIS2 betonar vikten av organisatorisk säkerhet. Det kräver att ledningen engagerar sig i cybersäkerhetsfrågor. Det inkluderar ansvar på styrelsenivå och integration av säkerhetsaspekter i företagets riskstyrning.

Genom att specificera dessa krav skapar NIS2 en gemensam grund för tekniska säkerhetskrav. Det minskar fragmenteringen från NIS1. Det säkerställer att kritiska verksamheter över hela EU har en robust säkerhetsnivå.

Rapportering av incidenter

Incidentrapportering har förändrats mycket mellan NIS1 och NIS2. Detta kräver att organisationers säkerhetsrutiner omställs. De nya kraven påverkar hur snabbt och systematiskt svenska företag måste reagera på cybersäkerhetsincidenter.

Rapporteringsskyldigheten är viktig för att upptäcka och hantera hot mot digital infrastruktur. Genom strukturerad incidentrapportering kan tillsynsmyndigheter få en samlad bild av säkerhetsläget. Detta gör att snabbare respons och bättre samordning mellan aktörer kan ske när allvarliga händelser inträffar.

Rapporteringskrav i NIS1

I det ursprungliga NIS-direktivet var rapporteringskraven olika beroende på organisationens kategori. Leverantörer av samhällsviktiga tjänster måste rapportera incidenter med betydande inverkan. Digitala tjänster rapporterar incidenter med avsevärd inverkan.

Denna skillnad skapade komplexitet och tolkningsutrymme. Bedömningen av vilka incidenter som kräver rapportering baseras på flera faktorer. Antal berörda användare, beroenden mellan sektorer och geografisk omfattning vägs in. Ekonomisk och samhällelig påverkan är också viktig.

Alla incidenter rapporterades till CIRT-enheten vid MSB enligt NIS1. Tidsramen för rapportering var ”utan onödigt dröjsmål”, vilket gav organisationer visst handlingsutrymme. Detta vaga krav ledde till olika tolkningar av vad som var rimlig responstid.

Ändringar i NIS2

NIS2 förenklar och skärper rapporteringskraven. Detta sker genom att ta bort skillnaderna mellan olika typer av verksamheter. Nu gäller samma krav för både väsentliga och viktiga enheter. Denna harmonisering skapar tydlighet och konsistens i hanteringen av incidenter.

Det nya direktivet kräver att alla incidenter med betydande påverkan rapporteras. Detta inkluderar driftstörningar, åtkomstproblem och andra händelser som påverkar tjänstens tillgänglighet. Även potentiella incidenter, som misslyckade attackförsök, ska rapporteras.

Den största förändringen är de strikta rapporteringsfristerna i NIS2. Initial rapportering ska ske inom 24 timmar efter att en incident upptäcks. Detta är en tydlig förbättring jämfört med NIS1.

Efter den initiala rapporten krävs en detaljerad uppdatering inom 72 timmar. Denna uppdatering ska innehålla en preliminär bedömning av incidentens omfattning. Slutligen ska en omfattande slutrapport lämnas in inom en månad efter incidentens upptäckt.

Aspekt	NIS1	NIS2
Rapporteringsansvar	Olika krav för samhällsviktiga tjänster (betydande inverkan) och digitala tjänster (avsevärd inverkan)	Enhetliga krav för både väsentliga och viktiga enheter
Tidsram för initial rapportering	Utan onödigt dröjsmål (ej specificerad tid)	Inom 24 timmar efter upptäckt
Uppföljningsrapport	Ingen specifik tidsfrist angiven	Detaljerad uppdatering inom 72 timmar
Slutrapport	Ingen specifik tidsfrist angiven	Omfattande rapport inom en månad
Typ av incident	Endast faktiska incidenter med betydande/avsevärd inverkan	Både faktiska incidenter och potentiella hot samt misslyckade attackförsök

Denna trestegsstruktur för incidentrapportering är utformad för att säkerställa aktuell och effektiv incidenthantering. Genom att kräva rapportering inom fastställda rapporteringsfrister minimeras potentiella skador genom snabb eskalering. Vi förstår att detta kräver välutvecklade interna processer och tydliga ansvarsfördelningar.

Utvidgningen till att omfatta potentiella incidenter innebär att organisationer måste rapportera även säkerhetsbrister som identifierats genom proaktiva tester. Detta möjliggör tidigare varningar och mer effektiv informationsdelning om framväxande hot. Tillsynsmyndigheterna kan därmed få en mer komplett bild av säkerhetsläget och vidta förebyggande åtgärder.

För svenska organisationer innebär de skärpta rapporteringsfristerna att befintliga säkerhetsrutiner ofta behöver ses över. Automatiserade system för incidentdetektering och rapportering blir allt viktigare för att uppfylla kraven. Vi rekommenderar att organisationer etablerar tydliga eskaleringsvägar och utbildar personal i hur cybersäkerhetsincidenter ska identifieras och rapporteras.

Tillsyn och efterlevnad

EU har skapat ett nytt system för att övervaka cybersäkerhet. Detta system, NIS2, ställer högre krav på organisationer. Det visar EU:s önskan om att förbättra cybersäkerheten genom bättre kontroll och större ekonomiska straff.

Detta är en fundamental förändring i hur EU hanterar säkerhetsregler. Det innebär också att tillsynsmyndigheter nu arbetar tätare över gränserna.

Begränsad tillsyn under NIS1

Under NIS1 var tillsynen begränsad. Böterna var maximalt 100 000 euro. Det var inte tillräckligt för att skrämma stora företag.

Det fanns också andra sanktioner som var mindre effektiva. Dessa inkluderade varningar och offentliggöranden. Men de var inte starka nog för att få företag att investera i säkerhet.

Tillsynen var också ojämn mellan länder. Detta gjorde det svårt att ha enhetliga standarder överallt. Flera företag utnyttjade dessa skillnader.

Förstärkt tillsynsramverk i NIS2

NIS2 har höjt sanktionerna markant. Nu kan böterna bli upp till 20 miljoner euro eller 4% av omsättningen. Detta är lika med de straff som ställs under GDPR.

Det finns också mindre sanktioner för mindre allvarliga fall. Detta gör tillsynen mer flexibel. Den anpassas efter överträdelsens allvar och företagets storlek.

Det är viktigt att rapportera säkerhetsincidenter snabbt. Nu kan det leda till stora straff. Det betonar vikten av att ha väletablerade processer för detta.

Aspekt	NIS1	NIS2
Maximala böter	100 000 euro	20 miljoner euro eller 4% av årsomsättning
Administrativa åtgärder	Varningar, förbud, offentliggörande	Utökade åtgärder inklusive företagsförbud
Ledningsansvar	Begränsat personligt ansvar	Personligt ansvar för ledning och styrelse
Tillsynskoordinering	Fragmenterad mellan medlemsstater	Nationella myndigheter med samordnade processer

NIS2 kräver stora förändringar i tillsynen. Varje land måste ha en eller flera nationella behöriga myndigheter. Dessa ska kunna samarbeta effektivt över gränserna.

Det är också viktigt att ledningen tar ansvar. De kan bli personligt ansvariga för säkerhetsbrister. Det betonar vikten av att se cybersäkerhet som en ledningsfråga.

Detta skapar starkare drivkrafter för företag att hantera risker proaktivt. De höjda sanktionerna och personligt ansvar driver till att cybersäkerhet prioriteras högt. Det är en viktig förändring.

Det nya systemet för tillsyn under NIS2 innebär också förbättrad transparens och ansvarsutkrävande. Tillsynsmyndigheter får bättre möjligheter att inspektera och bedöma säkerhetsåtgärder. Det skapar en kontinuerlig övervakningscykel som motiverar ständiga förbättringar.

Påverkan på företag och organisationer

NIS2 implementeringen förändrar hur många organisationer som måste följa regler för cybersäkerhet. Det innebär att fler företag nu måste ta hand om sin digitala säkerhet. Detta kräver en strategisk planering för digital säkerhet hos alla i Sverige.

Detta skapar både utmaningar och möjligheter för företag i Sverige. Vissa måste investera i nya säkerhetsprogram. Andra får chansen att förbättra sina system. Detta stärker Sveriges motståndskraft mot digitala angrepp.

Organisationer som omfattades av NIS1

Det ursprungliga direktivet riktade sig mot ett begränsat antal operatörer av samhällsviktiga tjänster. Detta inkluderade energi, transporter, banker och sjukvård. De hade redan säkerhetsprogram, vilket gjorde det lättare att följa NIS1-kraven.

Digitala tjänster som marknadsplatser och molntjänster var också inkluderade. Men många små och medelstora företag lämnades utanför. Detta ledde till att stora delar av den digitala ekonomin saknade strukturerade säkerhetskrav.

NIS1 hade luckor i det digitala säkerhetsnätet. Sammankopplade leverantörskedjor gjorde att även icke-reglerade företag kunde utgöra risker. Detta ledde till utvecklingen av NIS2.

Dramatisk expansion av användarbasen

NIS2 inkluderar betydligt fler sektorer och enheter än tidigare. Detta inkluderar livsmedel, kemikalier, digital infrastruktur och offentlig förvaltning. Detta erkänner den ökande digitaliseringen av samhällsfunktioner.

Tusentals nya organisationer i EU måste implementera cybersäkerhetsprogram. I Sverige ökar antalet reglerade företag från några hundra till flera tusen. Detta visar att cyberincidenter kan sprida sig snabbt och påverka ekonomin.

Även medelstora företag med över 50 anställda kan bli omfattade. Detta är en stor skillnad från NIS1 som främst fokuserade på stora aktörer. Den utökade definitionen säkerställer att hela leverantörskedjor inom omfattade sektorer upprätthåller adekvata säkerhetsnivåer.

Aspekt	NIS1	NIS2
Antal sektorer	7 kritiska sektorer	18 sektorer (kritiska och viktiga)
Företagsstorlek	Främst stora operatörer	Inkluderar medelstora företag (50+ anställda)
Tidsfrist efterlevnad	21 månader enhetligt	18 månader (väsentliga) / 24 månader (digitala)
Uppskattade berörda i Sverige	Cirka 300-500 organisationer	Flera tusen organisationer

Implementeringstidslinjorna för NIS2 varierar. Operatörer av väsentliga tjänster måste uppfylla kraven inom 18 månader. Detta erkänner deras kritiska roll för samhällsfunktioner.

Digitala tjänsteleverantörer har 24 månader på sig. Denna differentiering skiljer sig från NIS1:s enhetliga tidsfrist på 21 månader. Den längre tidsramen för digitala tjänster reflekterar att vissa aktörer behöver bygga upp nya säkerhetsfunktioner.

Praktiska konsekvenser av NIS2 implementering inkluderar omfattande gap-analyser. Organisationer måste investera i förbättrade säkerhetsprogram. Detta inkluderar att etablera eller förstärka incidenthanteringskapaciteter med dygnet-runt-beredskap.

Utbildning av personal på alla nivåer blir central. Detta kräver ofta organisatoriska förändringar och omfördelning av budget och resurser till säkerhetsfunktioner.

Vi på Sentor förstår de utmaningar som denna utökade omfattning medför. Vi hjälper er genom hela resan. Från initial bedömning och planering till implementering av tekniska och organisatoriska säkerhetsåtgärder, står vi redo att vara er partner i NIS2 implementering.

Utmaningar och möjligheter med NIS2

Övergången till NIS2 är en viktig vändpunkt för organisationers cybersäkerhetsarbete. Det finns både utmaningar och möjligheter. Den nya cybersäkerhetslagstiftningen kräver att företag tar ett helhetsgrepp om sin säkerhet. Det skapar också en möjlighet att bygga stark motståndskraft.

Organisationer som proaktivt hanterar denna förändring kan transformera efterlevnadskrav till konkurrensfördelar. Detta är en viktig möjlighet.

Implementeringen av NIS2 innebär stora förändringar som påverkar alla nivåer i organisationen. Från ledningsnivå till operativa team måste alla förstå de nya kraven. Detta kräver strategisk planering och praktisk genomförandekraft.

Organisatoriska utmaningar vid implementering

Organisationer måste göra en grundlig översyn av sina säkerhetsrutiner. Detta är en förberedelse för övergången från NIS1 till NIS2. Det innebär att kartlägga befintliga processer, tekniska system och ansvarsfördelning.

För många företag som inte tidigare omfattats av regulatoriska krav kan denna analys vara särskilt resurskrävande. Det är komplex.

En central utmaning är att förbättra incidentresponskapaciteter på ett fundamentalt sätt. Vi arbetar tillsammans med våra kunder för att utveckla robusta incidentresponsplaner. Planerna ska inkludera både tekniska verktyg för detektion och analys samt väldefinierade processer med tydliga ansvarsroller. Personalen måste vara välutbildad i bästa praxis för cybersäkerhet. Team behöver regelbunden övning för att kunna reagera effektivt under stress.

De skärpta kraven på leverantörs- och leveranskedjesäkerhet är en av de största implementeringsutmaningarna. En av de främsta attackvektorerna mot dagens verksamheter är supply chain-attacker. NIS2 fastslår att berörda verksamheter ska säkerställa säkerhet i hela leveranskedjan genom hantering av säkerhetsaspekter i relationen mellan verksamheten och dess leverantörer och tjänsteleverantörer.

Organisationer måste etablera processer för att bedöma, övervaka och hantera cybersäkerhetsrisker hos leverantörer och underleverantörer. Detta komplexa åtagande är särskilt utmanande givet den omfattande outsourcing och de komplexa leverantörsekosystem som kännetecknar moderna verksamheter. Ansvaret sträcker sig nu genom hela värdekedjan, vilket kräver nya kontraktsvillkor och kontinuerlig uppföljning.

Viktiga utmaningar som organisationer måste adressera inkluderar:

• Resurstilldelning: Identifiera och allokera nödvändiga budgetmedel och kompetens för implementeringsprojekt
• Gap-analys: Kartlägga skillnader mellan nuvarande säkerhetskapacitet och NIS2-krav
• Leverantörsbedömning: Utvärdera och klassificera alla kritiska leverantörer ur säkerhetsperspektiv
• Kompetensutveckling: Bygga intern kunskap om nya regulatoriska krav och säkerhetstekniker
• Processdokumentation: Formalisera och dokumentera alla säkerhetsrelaterade arbetssätt

Strategiska fördelar och utvecklingsmöjligheter

Samtidigt som cybersäkerhetslagstiftningen ställer höga krav skapar NIS2 betydande förbättringsmöjligheter för organisationer som tar ett proaktivt grepp om efterlevnaden. Implementeringen av de obligatoriska säkerhetsåtgärderna uppfyller inte bara regulatoriska krav utan förbättrar också fundamentalt organisationens cybersäkerhetsmogenhet. Detta resulterar i verklig motståndskraft mot cyberattacker som hotar verksamheten.

Vi ser att organisationer som investerar strategiskt i NIS2-efterlevnad uppnår minskade incidentkostnader över tid. Förbättrat kundförtroende och potentiella konkurransfördelar gentemot organisationer som släpar efter i sitt säkerhetsarbete blir påtagliga resultat. Säkerhet blir en affärsfördel snarare än bara en kostnad.

NIS2 ger organisationer en tydlig ram och vägledning för hur cybersäkerhet bör struktureras och prioriteras. Detta underlättar för säkerhetsteam att säkra nödvändiga resurser och ledningsstöd genom att peka på de tydliga regulatoriska kraven och konsekvenserna av bristande efterlevnad. Ledningen får konkreta argument för att investera i säkerhet som en strategisk prioritet.

Möjligheter som organisationer kan dra nytta av genom NIS2-implementering:

1. Byggande av digital motståndskraft: Skapa robust infrastruktur som tål både cyberattacker och operativa störningar
2. Standardisering av processer: Etablera enhetliga säkerhetsrutiner som skalbar över hela organisationen
3. Förbättrad riskhantering: Utveckla systematiska metoder för att identifiera och hantera säkerhetsrisker
4. Marknadsdifferentiering: Visa kunder och partners att säkerhet tas på allvar genom certifierbar efterlevnad
5. Ökad transparens: Förbättra kommunikation om säkerhetsstatus både internt och externt

Den nya lagstiftningen driver också innovation inom säkerhetsteknik och tjänster. Organisationer som tidigt adopterar moderna lösningar för att uppfylla NIS2-krav positionerar sig för framtida teknologisk utveckling. Detta skapar grunden för kontinuerlig förbättring snarare än punktinsatser.

Vi arbetar tillsammans med våra kunder för att transformera efterlevnadskrav till strategiska fördelar. Vi designar säkerhetsprogram som inte bara uppfyller minimikraven. Målet är att skapa robust och skalbar digital motståndskraft som stödjer affärstillväxt och innovation. När säkerhet integreras i affärsstrategin från grunden blir den en möjliggörare för nya initiativ istället för en begränsning.

Implementeringen av NIS2 kan också stärka organisationskulturen kring säkerhet. När alla medarbetare förstår vikten av cybersäkerhet och sitt eget ansvar minskar risken för mänskliga fel som ofta är orsaken till incidenter. Detta kulturskifte är en av de mest värdefulla långsiktiga förbättringsmöjligheterna som kommer av den nya regleringen.

För organisationer som väljer att se NIS2 som en katalysator för förändring snarare än bara en efterlevnadsbörda öppnas dörren till verklig cybersäkerhetsmognad. Kombinationen av tydliga regulatoriska krav, ledningsstöd och strategiska investeringar skapar förutsättningar för att bygga säkerhetsprogram som verkligen gör skillnad för affären.

Internationella aspekter av NIS1 och NIS2

Cybersäkerhetshot är globala och kräver samarbete över nationella gränser. Cyberkriminella och statliga aktörer respekterar inte gränser. Därför är internationellt samarbete viktigt för att skydda oss alla. NIS-direktiven skapar ett ramverk för gränsöverskridande säkerhet inom EU.

NIS1 och NIS2 syftar till att minska sårbarheter mellan EU-länder. Om en del av EU har lägre säkerhet kan angripare utnyttja det. Genom att höja säkerheten för viktiga nätverk och system inom hela EU minskar vi riskerna.

Förstärkt samarbete inom EU

NIS2 stärker samarbetet mellan EU-länder genom ökade informationsutbyten. Detta internationellt samarbete gör att vi kan reagera snabbare på nya hot. Vi hjälper organisationer att möta dessa krav genom att underlätta informationsdelning.

EU har skapat Europeiska kontaktnätverket för cyberkriser (EU-CyCLONe) för att hantera stora cyberincidenter. Detta nätverk säkerställer att resurser och expertis kan mobiliseras snabbt och att responsen koordineras.

EU:s cybersäkerhetsbyrå (ENISA) är viktig för informationsdelning och samordning inom EU säkerhetsregelverk. ENISA sprider hotinformation och bästa praxis snabbt mellan medlemsstater. Byrån utvecklar också verktyg för riskbedömning och incidenthantering.

De nya kraven på informationsdelning kräver att organisationer rapporterar incidenter till både nationella och europeiska myndigheter. Detta ger organisationer tillgång till värdefull hotintelligens som kan förbättra deras säkerhet.

Global påverkan och utveckling av standarder

NIS-direktiven har en global påverkan som påverkar cybersäkerhetsstandarder över hela världen. De höga standarder som etableras inom EU påverkar säkerhetspraxis i andra delar av världen. Organisationer som verkar globalt måste anpassa sina säkerhetsprogram för att uppfylla EU:s krav.

Detta påminner om hur GDPR har påverkat dataskyddspraxis globalt. Många företag utanför EU har implementerat GDPR-kompatibla processer som sin globala standard. Vi förväntar oss att NIS2 kommer att ha en liknande effekt på cybersäkerhetsstandarder internationellt.

För svenska organisationer med internationell verksamhet innebär detta både utmaningar och fördelar. De måste navigera komplexa regulatoriska landskap. Men efterlevnad av NIS2 ger en konkurrensfördel på globala marknader.

Det internationellt samarbete som NIS2 främjar sträcker sig också bortom EU:s gränser. Det skapar ett globalt nätverk för hotintelligens och incidentrespons. Vi arbetar kontinuerligt med att hålla våra kunder uppdaterade om dessa utvecklingar.

Den harmonisering av EU säkerhetsregelverk som NIS2 representerar underlättar för organisationer som verkar över gränserna. Istället för att hantera 27 olika nationella ramverk kan företag nu förhålla sig till ett mer enhetligt europeiskt regelverk. Detta minskar komplexiteten och kostnaderna för efterlevnad samtidigt som det höjer den övergripande säkerhetsnivån för hela den digitala inre marknaden.

Framtida riktningar för cybersäkerhet

Vi står på gränsen till en ny era inom cybersäkerhet. Denna era kommer att präglas av artificiell intelligens, kvantberäkning och ökad sammankoppling. Detta kommer att förändra hur vi skyddar kritisk infrastruktur. Cybersäkerhetslandskapet utvecklas snabbt, drivet av teknologiska framsteg som skapar både möjligheter och utmaningar.

När NIS2-direktivet implementeras över hela Europa börjar vi redan se trender som kommer att påverka framtida regleringar. Den digitala transformationen accelererar och vårt samhälle blir allt mer beroende av digital infrastruktur. Detta skapar ett behov av kontinuerlig uppdatering och förbättring av säkerhetskraven.

Vi på Sentor följer dessa utvecklingstrender och arbetar proaktivt med våra kunder. Vi hjälper dem att säkerställa framtidssäkra lösningar. Vår expertis hjälper organisationer att inte bara uppfylla dagens krav utan också förbereda sig för morgondagens utmaningar.

Kommande teknologiska utmaningar och regulatoriska behov

Artificiell intelligens och maskininlärning representerar en dubbel utmaning för framtidens cybersäkerhet. Dessa teknologier förbättrar våra försvarsmöjligheter men används också av illvilliga aktörer för att utveckla sofistikerade attacker.

Kommande regleringar kommer sannolikt att innehålla specifika krav på AI-baserade säkerhetslösningar. Organisationer behöver förstå hur deras AI-system fattar beslut och kan förklara dessa processer för tillsynsmyndigheter. Detta ställer nya krav på dokumentation och spårbarhet.

Kvantberäkningens framväxt utgör en potentiell paradigmförskjutning. Detta kan göra nuvarande krypteringsmetoder obsoleta inom en snar framtid. När tillräckligt kraftfulla kvantdatorer utvecklas kan de bryta den kryptering som idag skyddar våra mest känsliga data och kommunikationer.

Säkerhetsutveckling inom kvantkryptering kommer att kräva regulatorisk vägledning. Organisationer måste börja planera för denna övergång redan nu. Vi hjälper våra kunder att utvärdera deras nuvarande krypteringsstrategier och förbereda migreringsplaner för kvantresistent säkerhet.

Teknologisk trend	Säkerhetsutmaning	Regulatoriskt behov	Tidshorisont
Artificiell intelligens	AI-drivna attacker och försvarssystem	Transparenskrav och AI-säkerhetsstandarder	2-3 år
Kvantberäkning	Obsolet traditionell kryptering	Kvantresistenta krypteringsstandarder	5-10 år
IoT-expansion	Utökade angreppsytor och sårbarheter	Säkerhetskrav för uppkopplade enheter	1-2 år
5G och edge computing	Decentraliserade säkerhetsutmaningar	Distribuerade säkerhetsramverk	2-4 år

Internet of Things och industriella kontrollsystem skapar enormt utökade angreppsytor. Detta kräver nya säkerhetsstrategier. Miljontals uppkopplade enheter i kritiska infrastruktursektorer som energi, transport och tillverkning blir potentiella ingångspunkter för cyberattacker.

Förskjutning mot resiliens och återhämtning

Framtida regleringar kommer att lägga ännu större vikt vid resiliens och återhämtning. Detta erkänner att även väl skyddade organisationer kan drabbas av framgångsrika cyberattacker. Förmågan att snabbt detektera, begränsa och återhämta sig från incidenter blir minst lika viktig som förmågan att förebygga dem.

NIS direktivet har historiskt fokuserat främst på prevention. Men vi ser en tydlig förskjutning mot ett mer holistiskt synsätt. Kommande regleringar kommer sannolikt att kräva detaljerade kontinuitetsplaner och regelbundna tester av återhämtningsförmåga.

Vi arbetar med våra kunder för att utveckla robusta resiliensstrategier. Detta inkluderar regelbundna övningar och simuleringar av incidentscenarier. Säkerhetsutveckling handlar inte längre bara om att bygga murar utan om att skapa organisationer som kan absorbera och återhämta sig från angrepp.

Den geopolitiska dimensionen av cybersäkerhet får ökad uppmärksamhet i diskussioner om framtida regulatoriska ramverk. Risker associerade med leverantörer och teknologier från jurisdiktioner som kan utgöra nationella säkerhetsrisker blir en central fråga. Detta är särskilt relevant för kritiska infrastrukturoperatörer som förlitar sig på internationella leveranskedjor.

Koncept som teknologisk suveränitet och tillförlitliga leverantörer kommer sannolikt att få en framträdande plats i kommande regleringar. Organisationer behöver utvärdera sina leverantörsrelationer ur ett säkerhetsperspektiv. Detta kräver strategisk planering och kan innebära betydande investeringar i alternativa lösningar.

Framtid cybersäkerhet kommer också att präglas av starkare internationellt samarbete och harmonisering av standarder. Cyberhotet känner inga gränser och effektivt försvar kräver koordination över nationsgränser. Vi förväntar oss att framtida versioner av NIS direktivet kommer att innehålla ännu mer omfattande mekanismer för informationsdelning och gemensamma responser på gränsöverskridande incidenter.

Utbildning och kompetensförsörjning representerar en annan kritisk utmaning som troligen kommer att adresseras i framtida regleringar. Bristen på kvalificerade cybersäkerhetsproffs utgör ett betydande hinder för effektiv säkerhetsimplementation. Kommande regleringar kan innehålla krav på kontinuerlig utbildning och certifiering av säkerhetspersonal samt incitament för att utveckla cybersäkerhetskompetenstekniken.

Vi på Sentor positionerar våra kunder för långsiktig framgång genom att designa cybersäkerhetsprogram med tillräcklig flexibilitet och framtidsorientering. Våra lösningar tar hänsyn till både nuvarande regulatoriska krav och förväntade framtida utvecklingar. Detta proaktiva synsätt säkerställer att organisationer kan anpassa sig snabbt när nya regleringar träder i kraft utan att behöva genomföra kostsamma omstruktureringar.

Den accelererande digitaliseringen av samhället innebär att cybersäkerhet kommer att fortsätta vara en prioriterad fråga. Balansen mellan innovation och säkerhet, mellan konkurrenskraft och skydd, kommer att vara central i utformningen av framtida regleringar. Vi ser dessa utmaningar inte som hinder utan som möjligheter att bygga mer robusta och pålitliga digitala ekosystem.

Sammanfattning och slutsatser

Övergången från NIS1 till NIS2 är en stor förändring för cybersäkerhet i EU. NIS1 började gälla 2018 och var ett första steg mot en mer harmoniserad säkerhet. NIS2 godkändes 2022 och måste implementeras före oktober 2024.

Medlemsländerna har 21 månader på sig att göra det. Detta innebär att de måste ändra lagar för att följa direktivet.

Centrala lärdomar från jämförelsen

Vad är skillnaden mellan NIS1 och NIS2? Den största skillnaden är att NIS2 omfattar fler sektorer och har strängare krav. Sanktionerna har också ökat till 20 miljoner euro eller 4 procent av omsättningen.

Ansvaret ligger nu på lednings- och styrelsenivå. Detta visar en tydlig evolution mellan NIS1 och NIS2.

NIS2 kräver nu rapportering inom 24 timmar. Det introducerar också krav på säkerhet i leveranskedjan. Detta är en nödvändig anpassning mot dagens hot.

Vägen framåt för organisationer

Denna sammanfattning direktiv visar att organisationer måste vara proaktiva. De kan inte längre vänta med att förbättra sin cybersäkerhet. Vi är redo att hjälpa er med allt från gap-analyser till kontinuerlig förbättring.

Slutsatser cybersäkerhet visar att NIS2 är början på en resa mot bättre digital motståndskraft. Genom att se krav som möjligheter kan ni skapa långsiktig affärsnytta och förtroende.

FAQ

Vad är den grundläggande skillnaden mellan NIS1 och NIS2?

NIS2 är mer omfattande och specificerad än NIS1. Det omfattar fler sektorer och ställer högre krav på cybersäkerhet. Det skärper också rapporteringskraven och ökar sanktionerna till 20 miljoner euro eller 4 procent av årlig omsättning.

Medan NIS1 var mer begränsat, ger NIS2 ett starkare ramverk för cybersäkerhet i hela EU. Det tar hänsyn till den ökade digitaliseringen och de allt mer sofistikerade cyberhoten.

Vilka organisationer omfattas av NIS2 som inte omfattades av NIS1?

NIS2 inkluderar fler sektorer än NIS1. Det gäller avlopps- och avfallshantering, fjärrvärme och fjärrkyla, livsmedelssektorn, offentlig förvaltning, tillverkningsindustri, postverksamhet och rymdverksamhet.

Dessutom omfattar NIS2 tusentals nya organisationer över hela EU. Det inför en ny klassificering av organisationer som ”väsentliga entiteter” eller ”viktiga entiteter”.

Vad är de viktigaste cybersäkerhetskraven i NIS2 jämfört med NIS1?

NIS2 ställer högre krav på riskhantering och säkerhetskontroller. Det kräver kryptering av kommunikationstjänster och regelbundna säkerhets- och penetrationstester.

Det ställer också krav på robusta incidenthanteringsprocesser och tydliga cybersäkerhetspolicyer. Leveranskedjesäkerhet är också en ny viktig del av NIS2.

Hur skiljer sig rapporteringskraven mellan NIS1 och NIS2?

NIS2 har striktare tidsfrister för rapportering. Det kräver att organisationer rapporterar inom 24 timmar efter en incident. En detaljerad rapport ska lämnas inom 72 timmar.

En slutgiltig rapport ska lämnas inom en månad. NIS2 kräver också rapportering av potentiella incidenter, som misslyckade attacker.

Vilka sanktioner kan organisationer möta vid bristande efterlevnad av NIS2?

Sanktionerna under NIS2 är betydligt högre än under NIS1. De kan sträcka sig från böter till företagsförbud. Det är viktigt att organisationer har starka ekonomiska incitament att prioritera cybersäkerhet.

Vem har ansvar för efterlevnad av NIS2 inom en organisation?

Lednings- och styrelsen har tydligt ansvar för cybersäkerhet. Det är en strategisk fråga, inte bara en teknisk. Styrelsen och ledningen måste vara engagerade och ansvariga för säkerhetsarbetet.

De måste säkerställa att organisationen har adekvata säkerhetsåtgärder och riskhanteringsprocesser.

Hur länge har organisationer på sig att implementera NIS2-kraven?

NIS2 trädde i kraft i december 2022. Medlemsländerna har 21 månader på sig att införa kraven. Deadline är den 17 oktober 2024.

Organisationer som redan omfattades av NIS1 börjar med gap-analyser. De som nyligen omfattas av NIS2 bygger upp sina säkerhetsprogram.

Vad innebär kravet på leveranskedjesäkerhet i NIS2?

Kravet innebär att organisationer måste säkerställa cybersäkerhet genom hela leveranskedjan. Det är viktigt att bedöma och övervaka risker hos leverantörer och underleverantörer.

Det erkänner att organisationer är beroende av komplexa leverantörsekosystem. Sårbarheter hos leverantörer kan leda till attacker mot organisationen.

Hur samarbetar EU-länderna kring cybersäkerhet under NIS2?

NIS2 stärker samarbetet mellan EU-länderna genom ökade krav på informationsutbyte. Det skapar en starkare cybersäkerhetsstruktur i hela EU.

EU-CyCLONe är en ny mekanism för att hantera stora cyberincidenter. ENISA spelar en central roll för informationsdelning och samordning.

Vilka är de största utmaningarna för organisationer vid implementering av NIS2?

Utmaningarna inkluderar att genomföra gap-analyser och investera i säkerhetsåtgärder. Det är viktigt att ha tydliga implementeringsplaner och resursallokeringar.

Det är också viktigt att ledning och styrelse är engagerade och informerade. Mindre organisationer kan ha svårt att hantera de höga kraven.

Vilka möjligheter skapar NIS2 för organisationer?

NIS2 ger organisationer möjlighet att förbättra sin cybersäkerhetsmogenhet. Det kan leda till minskade kostnader och bättre kundförtroende.

Det ger en tydlig ram för cybersäkerhet och kan hjälpa till att säkra nödvändiga resurser. Det är en chans att transformera säkerhetskrav till strategiska fördelar.

Hur kan organisationer best förbereda sig för NIS2?

Organisationer börjar med gap-analyser och utvecklar implementeringsplaner. Det är viktigt att ledning och styrelse är engagerade och informerade.

Det krävs investeringar i säkerhetsåtgärder och utbildning. Sentor stödjer organisationer genom hela implementeringsprocessen.

Vad händer om min organisation inte uppfyller NIS2-kraven i tid?

Om organisationen inte uppfyller kraven kan det leda till betydande sanktioner. Det kan inkludera böter och företagsförbud.

Det är viktigt att ta NIS2 på allvar och säkerställa att organisationen uppfyller kraven inom tidsramen. Professionell vägledning kan vara nödvändig för att undvika kostsamma brister.