Vad händer om man inte följer NIS2?

Flertalet svenska organisationer undrar om konsekvenser av att inte följa NIS2. Svaret är både komplex och allvarligt. Det nya direktivet förändrar hur EU hanterar cybersäkerhet. Brister i efterlevnad kan ha stora konsekvenser för er verksamhet.

Sanktionssystemet är tydligt. Väsentliga sektorer kan få böter på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen. Andra kritiska sektorer kan få böter på 7 miljoner euro eller 1,4 procent av omsättningen. Dessa ekonomiska påföljder är bara början.

Om ni inte följer NIS2-direktivet efterlevnad kan det leda till störningar. Ni kan förlora kundförtroende och få skärpt tillsyn. Till och med er rätt att bedriva verksamhet kan ifrågasättas. Vi hjälper er att förstå riskerna och bygga en strategi för fullständig efterlevnad.

Viktiga Insikter

• Böter kan uppgå till 10 miljoner euro eller 2% av global årsomsättning för väsentliga sektorer
• Myndigheterna får utökade befogenheter att genomföra både planerade och oanmälda kontroller av organisationer
• Bristande efterlevnad riskerar att skada kundförtroende och företagets rykte på marknaden
• Organisationer kan förlora sina tillstånd att bedriva verksamhet vid allvarliga brister
• Ledningen hålls personligt ansvarig och kan få tillfälliga avstängningar från ledningsroller
• Incidentrapportering måste ske enligt strikta tidsfrister: 24 timmar för tidig varning, 72 timmar för första bedömning
• Ökad risk för cyberincidenter som dataintrång, ransomware och dataläckor vid ineffektiv cybersäkerhetshantering

Vad är NIS2 och varför är det viktigt?

NIS2-direktivet är en viktig del av EU:s arbete för att skydda den digitala infrastrukturen. Det är särskilt viktigt eftersom digitaliseringen och cyberattacker blir allt mer avancerade. Det nya direktivet ger en gemensam standard för cybersäkerhet i EU, vilket är viktigt för att förtroendet i den digitala ekonomin ska kunna hållas.

Network and Information Security Directive 2 bygger på erfarenheter från det tidigare NIS1-direktivet. Det tar hänsyn till de luckor som har identifierats de senaste åren. Genom att stärka kraven skapar cybersäkerhet EU en starkare försvarslinje mot hoten från modern teknik.

Vem omfattas och vad innebär regelverket

NIS2 är en uppdaterad ram för att stärka cybersäkerheten i EU. Det gäller organisationer som driver viktig verksamhet och kritisk digital infrastruktur. Direktivet trädde i kraft i januari 2023 och medlemsstaterna har tills 17 oktober 2024 på sig att införliva det i lagstiftningen. I Sverige väntas den nya cybersäkerhetslagen börja gälla 2025.

Det nya NIS2-direktivet skiljer sig från det tidigare genom att omfatta fler sektorer och organisationer. Det innebär att många fler måste följa de nya kraven och implementera starka säkerhetsåtgärder.

En motståndskraftig digital infrastruktur är inte längre en option utan en nödvändighet för att upprätthålla samhällsfunktioner och ekonomisk stabilitet i en alltmer sammankopplad värld.

Kärnan i direktivet är att etablera enhetliga minimistandarder för cybersäkerhet över hela EU. Detta inkluderar krav på riskhantering, incidentrapportering, leverantörssäkerhet och hantering av tredjepartsrisker. Genom att harmonisera dessa krav underlättar Network and Information Security Directive samarbete mellan medlemsstater och möjliggör effektivare samordning vid gränsöverskridande incidenter.

Varför EU prioriterar förstärkt cybersäkerhet

Det primära målet med NIS2 är att höja säkerhetsnivån inom EU för att möta de alltmer avancerade cyberhot som moderna digitaliserade samhällen står inför. Traditionella säkerhetsåtgärder räcker inte längre för att skydda kritisk infrastruktur och viktiga samhällsfunktioner. Därför krävs ett systematiskt och proaktivt angreppssätt.

Direktivet syftar också till att skapa en gemensam standard som gör det enklare för organisationer att samarbeta över nationsgränser. Detta är särskilt viktigt i en digital ekonomi där leveranskedjor och affärsrelationer ofta sträcker sig över flera länder. Genom harmoniserade regler minskar komplexiteten för företag som verkar i flera EU-länder.

Fokusområde	Krav enligt NIS2	Förväntad effekt
Riskhantering	Systematisk identifiering och hantering av cybersäkerhetsrisker	Proaktivt skydd mot potentiella hot
Incidentrapportering	Obligatorisk rapportering inom 24-72 timmar	Snabbare respons och samordning
Leverantörssäkerhet	Utvärdering och övervakning av tredjepartsleverantörer	Minskad risk i leveranskedjan
Regelefterlevnad	Dokumentation och revisionsrutiner	Kontinuerlig förbättring av säkerhetsnivån

Ett annat centralt mål är att stärka myndigheternas förmåga att utöva tillsyn och samordna sina insatser. Genom att ge tillsynsmyndigheter tydligare mandat och verktyg skapar cybersäkerhet EU förutsättningar för effektivare genomdrivande av säkerhetskrav. Detta inkluderar möjligheten att utdöma betydande sanktionsavgifter vid bristande efterlevnad.

Vi ser att NIS2 representerar en förskjutning från frivilliga riktlinjer till obligatoriska krav för en betydligt bredare grupp organisationer. Denna utveckling understryker hur allvarligt EU tar hotet från cyberattacker och vikten av att bygga en resilient digital infrastruktur som kan motstå både nuvarande och framtida säkerhetshot.

Vilka organisationer träffas av NIS2?

NIS2 omfattar många fler organisationer än tidigare. Det nya direktivet är skapat för att möta den ökade cyberhotet. Det täcker väsentliga och viktiga entiteter i flera samhällskritiska sektorer.

Det innebär att tusentals svenska företag nu måste följa strängare säkerhetskrav. De måste också rapportera om säkerhetsincidenter.

Det är viktigt för svenska organisationer att veta om de omfattas av NIS2. Vi vill ge er en översikt av tillämpningsområdet och de stora skillnaderna mot tidigare regler. Genom att förstå detta kan ni agera i tid.

Tillämpningsområde för NIS2

NIS2 riktar sig mot sektorer där cybersäkerhet påverkar samhället och medborgarnas säkerhet. Det fokuserar främst på följande kritiska sektorer:

• Energi och elproduktion – kraftverk, överföringsoperatörer och distributionsnät som säkerställer elförsörjning
• Transport och logistik – flygplatser, hamnar, järnvägsoperatörer och leverantörer av trafikstyrningssystem
• Hälsovård – sjukhus, vårdcentraler, läkemedelstillverkare och medicinteknikföretag
• Digital infrastruktur och molntjänster – internetleverantörer, DNS-tjänster, datacenter och molnplattformar
• Tillverkning och industriella system – industrier som producerar kritiska komponenter eller produkter för samhällsviktig verksamhet

En organisation omfattas av NIS2 beroende på storlek. Det nya direktivet tar hänsyn till både sektor och storlek. Det innebär att även medelstora företag kan bli drabbade.

NIS2 fokuserar mer på leverantörskedjor. Detta är en stor förändring. Företag som tillverkar komponenter eller levererar tjänster till kritiska sektorer kan bli omfattade, även om de inte är i den sektorn.

Vi rekommenderar att alla organisationer gör en noggrann kartläggning. Det är viktigt att utvärdera er verksamhet och era affärsrelationer med kunder i kritiska sektorer.

Skillnader mellan NIS1 och NIS2

För att förstå de nya kraven måste vi jämföra NIS1 och NIS2. Många organisationer underskattar dessa skillnader. Detta kan leda till oförberedda situationer när direktivet träder i kraft.

NIS2 har utökat antalet omfattade sektorer från 7 till 18. Det innebär att fler branscher nu måste följa reglerna. Ledningsansvar för efterlevnad har också blivit tydligare, vilket innebär att VD:ar och styrelsemedlemmar kan bli personligt ansvariga.

Rapporteringskraven har också förändrats. NIS2 kräver att organisationer rapporterar betydande incidenter inom 24 timmar. Detta kräver att ni har väletablerade rutiner och är beredda att agera snabbt.

Aspekt	NIS1	NIS2	Praktisk påverkan
Antal omfattade sektorer	7 sektorer	18 sektorer	Fler organisationer omfattas av lagkrav
Storlekskriterier	Primärt stora företag	Medelstora och stora företag	Även mindre organisationer måste följa direktivet
Leverantörskedjor	Begränsat fokus	Starkt fokus på tredjepartsleverantörer	Underleverantörer måste också uppfylla säkerhetskrav
Rapporteringstid för incidenter	Ingen specifik tidsgräns	Initial rapport inom 24 timmar	Kräver snabb incidentrespons och dokumentation
Ledningens ansvar	Oklart definierat	Tydligt personligt ansvar för ledning	VD och styrelse måste aktivt engagera sig i cybersäkerhet

NIS2 inför strängare sanktioner för bristande efterlevnad. Böter kan bli upp till 10 miljoner euro eller 2% av den globala årsomsättningen. Det är viktigt att organisationer som omfattas av NIS2 tar direktivet på allvar.

En annan viktig förändring är harmoniseringen över EU. NIS2 inför enhetliga standarder över hela EU. Detta är positivt för organisationer som verkar i flera länder, eftersom det skapar tydliga och förutsägbara regler.

Vi råder alla organisationer att inte vänta med att se om de omfattas av NIS2. Genom att tidigt identifiera om ni faller under de nya reglerna kan ni planera för nödvändiga investeringar. Detta minimerar risken för säkerhetsincidenter och sanktioner.

Konsekvenser av bristande efterlevnad

Att inte följa NIS2-kraven leder till allvarliga konsekvenser. Det sträcker sig långt bortom bara ekonomiska böter. Vi vill hjälpa er förstå de fulla riskerna. Organisationer som inte tar kraven på allvar kommer att möta ett system av påföljder.

Detta system är utformat för att säkerställa att cybersäkerhet blir en strategisk prioritet. Sanktioner enligt NIS2-direktivet representerar en grundläggande förändring i hur EU hanterar säkerhetsbrister. Konsekvenserna är avsedda att vara tillräckligt tydliga för att fungera som en verklig avskräckning.

Genom att införa ett harmoniserat sanktionssystem har EU skapat tydliga regler som gäller överallt. Det innebär att organisationer inte kan lita på nationella skillnader eller mildare tolkningar. Förståelsen för dessa konsekvenser är avgörande för att fatta välgrundade beslut om investeringar.

Ekonomiska påföljder

De ekonomiska påföljderna är den mest direkta konsekvensen för organisationer som inte följer reglerna. EU har infört hårdare böter för överträdelser. Böterna för NIS2-överträdelser är strukturerade för att påverka organisationer oavsett storlek eller ekonomi.

Väsentliga entiteter kan åläggas administrativa sanktioner på upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen. Det innebär att större organisationer kan möta stora ekonomiska böter.

För viktiga entiteter är böterna lägre men fortfarande betydande. De riskerar böter upp till 7 miljoner euro eller 1,4 procent av årsomsättningen. Detta är en betydande ekonomisk börda som kan påverka lönsamhet och investeringskapacitet.

Vi vill understryka att dessa ekonomiska påföljder inte är symboliska. De är avsedda att skapa en verklig finansiell press som tvingar organisationer att prioritera cybersäkerhet.

”Kostnaderna för efterlevnad är nästan alltid betydligt lägre än de potentiella böterna och de operationella störningar som kan följa av en incident eller ett myndighetsingripande.”

Utöver de direkta böterna finns det även indirekta ekonomiska konsekvenser. Dessa inkluderar:

• Kostnader för juridisk representation vid hantering av myndighetskontroller och eventuella överklagandeprocesser
• Ökade försäkringspremier då bristande cybersäkerhet identifieras av försäkringsbolag
• Resursintensiv dokumentation som krävs för att bemöta myndigheternas krav på bevis för efterlevnad
• Potentiell förlust av affärsmöjligheter när partners och kunder kräver bevis på NIS2-efterlevnad
• Marknadsvärdeförlust då offentliggörande av sanktioner påverkar investerarförtroende

Den verkliga ekonomiska påverkan sträcker sig långt bortom den initiala boten. Organisationer som drabbas av administrativa sanktioner måste genomföra omfattande förbättringsåtgärder under myndighetstillsyn. Detta innebär ytterligare kostnader för konsulttjänster, tekniska uppgraderingar och utbildning.

Den totala ekonomiska belastningen kan därför bli mångdubbelt högre än den ursprungliga boten. Detta är särskilt sant om bristerna har lett till säkerhetsincidenter som påverkat verksamheten eller tredje parter.

Rättsliga konsekvenser

Förutom de direkta ekonomiska påföljderna medför bristande efterlevnad omfattande rättsliga konsekvenser. Tillsynsmyndigheterna har fått betydligt utökade befogenheter. Detta innebär att de kan genomföra både planerade och oanmელda kontroller för att verifiera att organisationer uppfyller säkerhetskraven.

Vi vill betona att myndighetstillsynen under NIS2 är mer systematisk och genomgripande än tidigare. Tillsynsmyndigheterna har rätt att:

1. Begära fullständig dokumentation om organisationens riskhanteringsprocesser, säkerhetsåtgärder och incidenthanteringsrutiner
2. Utföra tekniska inspektioner av system, nätverk och säkerhetsinfrastruktur
3. Kräva bevis på efterlevnad inklusive revisionsrapporter, säkerhetstester och utbildningsdokumentation
4. Utfärda bindande anvisningar om specifika åtgärder som måste vidtas inom fastställda tidsramar
5. Offentliggöra överträdelser vilket kan påverka organisationens anseende och marknadsvärde

En av de mest betydande förändringarna i NIS2 är introduktionen av personligt ledningsansvar för cybersäkerhetsbrister. Styrelseledamöter och verkställande direktörer kan hållas direkt ansvariga för att säkerställa att organisationen uppfyller alla krav i direktivet. Detta innebär att ledningen inte längre kan delegera bort ansvaret för cybersäkerhet till IT-avdelningen – det är en strategisk fråga som kräver uppmärksamhet på högsta nivå.

De rättsliga konsekvenserna kan även inkludera förbud mot att utöva vissa affärsaktiviteter tills bristerna har åtgärdats. Detta direkt påverkar organisationens förmåga att generera intäkter. I extrema fall där bristande säkerhet har lett till allvarliga incidenter kan organisationer även möta skadeståndsanspråk från drabbade parter.

Vi ser också att det finns en kumulativ effekt av rättsliga konsekvenser. En organisation som tidigare har varit föremål för myndighetstillsyn eller sanktioner kommer att granskas mer noggrant vid framtida kontroller. Detta skapar ett långsiktigt compliance-tryck som kräver konsekvent fokus på cybersäkerhet, kontinuerlig förbättring av säkerhetsprocesser och transparent rapportering till tillsynsmyndigheter.

Genom att förstå både de ekonomiska och rättsliga konsekvenserna av bristande efterlevnad kan organisationer göra en realistisk bedömning av riskerna. Vi arbetar tillsammans med våra kunder för att säkerställa att de inte bara undviker sanktioner enligt NIS2-direktivet. Vi hjälper dem att bygga en robust säkerhetskultur som skyddar verksamheten långsiktigt.

Risker för verksamheten vid icke-efterlevnad

Att inte följa NIS2 kan leda till stora problem för företag. Dessa problem är ofta värre än de straff som myndigheter kan ge. När företag inte tar cybersäkerhet på allvar riskerar de stora problem.

Problemen sträcker sig långt. Om en verksamhet inte är säker blir den lättare att attackera. Detta kan göra företaget mindre konkurrenskraftigt och förlora kundförtroende.

Sårbarhet för moderna cyberhot

En verksamhet som inte följer NIS2 är mer utsatt för cyberattacker. Direktivet är gjort för att skydda mot de senaste hoten. Detta gör att företag med säkerhetsbrister är mer utsatta för dataintrång och ransomware.

Modern teknik gör cyberattacker allt mer avancerade. Attacker söker efter företag med svaga säkerhetsrutiner. När NIS2 sätter nya säkerhetsstandarder blir företag som inte följer dessa lättare mål för attacker.

Säkerhetsincidenter kan orsaka stora problem. Distributed denial-of-service-attacker kan stoppa kritiska system. Detta påverkar inte bara företaget utan även partners och kunder.

En lyckad cyberattack kan skada företaget mycket. Företag som drabbas måste ofta investera mycket i att återställa system. Detta kan vara mycket dyrare än att ha haft bra säkerhet från början.

Marknadspåverkan och förtroendekriser

Kundförtroende är en stor risk vid icke-efterlevnad. Kunder och intressenter är mer medvetna om cybersäkerhet. De förväntar sig att företag tar dessa frågor på största allvar.

En säkerhetsincident kan snabbt leda till förlust av kunder. Nyheter om säkerhetsbrister sprids snabbt. Det kan ta lång tid att återhämta sig från detta.

NIS2 sätter nya säkerhetsstandarder, oavsett om din verksamhet omfattas eller inte. Företag som inte lever upp till dessa standarder hamnar i underläge. Kunder och partners kräver dokumenterad säkerhet.

Detta gäller särskilt inom sektorer där säkerheten är viktig. Större företag granskar nu leverantörers säkerhet. Företag som inte kan visa adekvat skydd riskerar att förlora affärer.

Företag kan förlora förtroende och kunder. Myndigheter kan ta tillbaka tillstånd. Detta kan hota hela verksamhetens fortsatta existens.

En proaktiv strategi för NIS2 är viktig. Det är en investering i företagets framtid. Säkerhet är viktigt för hållbarhet och konkurrenskraft.

Skyldigheter för organisationer under NIS2

Vi hjälper er att förstå de specifika skyldigheter som NIS2 ställer. Detta är viktigt för att bygga starka säkerhetsprocesser. Det hjälper er också att undvika sanktioner.

NIS2 kräver mycket från er, från akuta rapporter till kontinuerlig riskhantering. Det är inte bara administrativa uppgifter. Det är en del av er säkerhetsstrategi.

Snabb respons vid säkerhetsincidenter

En viktig skyldighet är att rapportera säkerhetsincidenter snabbt. Ni måste rapportera inom 24 timmar efter att ni vet om incidenten. Detta kräver att ni har förberedda processer och tydliga roller.

Rapportering hjälper myndigheter att samordna och minska spridningen av attacker. Det skyddar andra organisationer. Det är därför viktigt för alla vår säkerhet.

För att möta kraven måste ni ha vissa saker:

• Incidentdetekteringssystem som hittar säkerhetsproblem i realtid
• Eskaleringsprocesser som informerar rätt personer snabbt
• Rapporteringsmallar för snabb kommunikation med myndigheter
• Dokumentationsrutiner för att spåra och rapportera
• Kontaktlistor med uppdaterad information till myndigheter

Systematisk riskhantering och proaktiva säkerhetsåtgärder

NIS2 kräver att ni hanterar risker systematiskt. Ni måste ha metoder för att identifiera, bedöma och hantera risker. Detta inkluderar riskanalyser och säkerhetsutveckling.

Det är viktigt att ni arbetar förebyggande och reaktivt. Cybersäkerhet måste vara en del av er verksamhet. Det är inte bara en enstaka åtgärd.

NIS2 kräver säkerhetsåtgärder i flera områden:

Säkerhetsområde	Krav enligt NIS2	Implementeringsåtgärder	Ansvarig funktion
Tillgångsstyrning	Fullständig inventering av kritiska IT-system och data	Automatiserad tillgångshantering, klassificering av informationstillgångar	IT-avdelning, säkerhetschef
Åtkomstkontroll	Strikt kontroll över vem som får tillgång till känsliga system	Multifaktorautentisering, rollbaserad åtkomst, privilegierad kontohantering	IT-säkerhet, systemadministratörer
Kryptering	Skydd av data både i vila och under överföring	End-to-end-kryptering, certifikathantering, säkra kommunikationskanaler	IT-säkerhet, utvecklingsteam
Affärskontinuitet	Förmåga att återställa verksamheten efter incident	Backup-strategier, disaster recovery-planer, regelbundna återställningstester	Verksamhetsledning, IT-drift
Personalutbildning	Kontinuerlig medvetenhet om cybersäkerhet hos alla medarbetare	Regelbundna utbildningar, simulerade phishing-tester, säkerhetspolicy	HR, säkerhetschef

Det är också viktigt att tänka på leverantörssäkerhet. Ni måste se till att era leverantörer är säkra. Detta görs genom avtal, granskningar och noggranna bedömningar.

Säkerhetsåtgärder måste omfatta hela er kedja. Vi rekommenderar att ni gör systematiska bedömningar av leverantörer. Det skyddar er mot risker från tredjepartsrelationer.

För att implementera säkerhetsåtgärder bör ni börja med en grundlig gap-analys. Prioritera åtgärder som minskar risker mest. Vi hjälper er att skapa en plan som balanserar nuvarande och framtida säkerhet.

Uppdatering av säkerhetsåtgärder är viktig. Hoten förändras hela tiden. Ni måste anpassa era skydd enligt detta. Det kräver processer för regelbunden testning och utvärdering av nya tekniker.

Roller och ansvar inom organisationen

NIS2 innebär en stor förändring. Ledningsansvar för cybersäkerhet blir viktigt för företag. Detta direktiv gör att säkerhetsfrågor inte bara är IT-avdelningens ansvar längre.

Hela organisationen måste förstå sina roller. Det är viktigt att alla jobbar tillsammans för en stark säkerhetsstruktur.

Företagsansvar under NIS2 betyder att alla måste veta vad de ska göra. Ledningen kan inte bara lämna över cybersäkerhet till IT. Det krävs tydliga ansvarskedjor för att säkerhetsarbetet ska fungera.

Rollerna under NIS2 måste vara tydliga och kända av alla. Det skapar en kultur där alla förstår sin roll i cybersäkerheten. Det är viktigt att dokumentera dessa roller och inkludera dem i styrdokumenten.

Tjänsteman för informationssäkerhet

Chief Information Security Officer eller informationssäkerhetschef är viktig för säkerhetsarbetet. Denna person ansvarar för att implementera säkerhetsåtgärder. Det inkluderar att bedöma risker och utveckla säkerhetspolicyer.

Informationssäkerhetschefen är också en brygga mellan operativa och ledningsnivåer. Det är viktigt att översätta tekniska hot till affärsrisker. Kommunikationen mellan dessa nivåer är avgörande.

IT- och säkerhetsteamet arbetar under informationssäkerhetschefen. De ansvarar för säkerhetsgranskningar och hantering av sårbarhetsanalyser. Det är viktigt att de kan reagera snabbt när hot upptäcks.

Det är också viktigt att kontrollera att externa leverantörer följer säkerhetskraven. Detta görs genom regelbundna granskningar och avtal med tydliga säkerhetskrav.

Ledningens ansvar

Styrelse och VD har det yttersta ansvaret för NIS2. Det är en rättslig skyldighet som kan få personliga konsekvenser. Ledningen måste engagera sig i cybersäkerhetsfrågor och ha en tydlig strategi.

Företagsansvar under NIS2 kräver att ledningen sätter tillräckliga resurser. Detta inkluderar budget för tekniska lösningar och utbildning av personal. Utan dessa resurser är det svårt att uppfylla direktivets krav.

Styrelsen måste också säkerställa att rutiner för incidenthantering och riskhantering är på plats. Det är viktigt att regelbundet granska dessa processer och få rapporter från säkerhetsorganisationen. Ledningsansvar för cybersäkerhet handlar om att skapa en kultur där säkerhet är en del av alla affärsbeslut.

En viktig förändring är att styrelseledamöter och ledande befattningshavare kan hållas personligt ansvariga för allvarliga brister. Detta skapar ett starkt incitament för att prioritera cybersäkerhet på högsta nivå.

Roll	Huvudsakligt ansvar	Nyckelaktiviteter
Styrelse och VD	Yttersta ansvar för NIS2-efterlevnad	Godkänna cybersäkerhetsstrategi, avsätta resurser, övervaka säkerhetsarbete
Informationssäkerhetschef (CISO)	Leda det operativa säkerhetsarbetet	Implementera säkerhetsåtgärder, bedöma risker, rapportera till ledningen
IT- och säkerhetsteam	Daglig säkerhetshantering	Övervaka system, hantera incidenter, genomföra säkerhetsgranskningar
Leverantörer och tredjeparter	Följa avtalade säkerhetskrav	Uppfylla säkerhetsstandarder, rapportera incidenter, delta i granskningar

Detta tydliga rollfördelning skapar en struktur där alla vet vad som förväntas av dem. Genom samordning kan organisationer bygga en stark cybersäkerhetsstruktur som uppfyller NIS2:s krav.

Kostnader för att implementera NIS2

För att förstå kostnader NIS2 är det viktigt. Det hjälper er att fatta rätt beslut för er organisation. Vi vill visa er de ekonomiska utgifterna och betona att de är en investering i er säkerhet.

En bra budget efterlevnad är en investering i er framtid. Det skyddar er mot cyberhot.

Det finns många osäkerheter kring de finansiella kraven från NIS2. Vi vill göra det lättare för er att planera. Vi delar upp kostnaderna i hanterbara delar.

Investeringar i teknik och träning

De tekniska investeringar för NIS2 inkluderar många säkerhetslösningar. Detta bygger ett starkt skydd för er verksamhet. System för att upptäcka och förhindra intrång är viktiga.

De arbetar tillsammans med system som övervakar er nätverk. Detta identifierar hot innan de kan skada.

Verktyg för att testa säkerheten är också nödvändiga. Kryptering skyddar känslig data. Backup-system säkerställer att ni kan återhämta er snabbt.

För vissa innebär investeringar cybersäkerhet en uppgradering av infrastruktur. Detta är nödvändigt för att skapa en säker grund.

Utöver tekniken kräver NIS2 också utbildningssatsningar och kompetensutveckling. Detta är viktigt för att skapa en säkerhetsmedveten kultur.

Regelbunden träning håller personalen uppdaterad. Vi ser att framgångsrika organisationer investerar i utbildning året runt.

Specialistkompetens är också viktig. Det kan innebära att anställa nya medarbetare eller anlita konsulter. Detta är en klok investering för att säkerställa att arbetet görs rätt.

Budgetplanering för efterlevnad

Effektiv budgetplanering för NIS2 kräver att ni skiljer mellan initiala och löpande kostnader. En grundlig gap-analys är viktig för att identifiera behovet av investeringar.

Denna analys hjälper er att prioritera investeringar baserat på risk och kritiskitet. Vissa åtgärder kräver omedelbara investeringar, andra kan tas in över tid.

Det är också viktigt att budgetera för granskningar av externa leverantörer. Ni måste se till att även de uppfyller säkerhetskraven.

Kostnadskategori	Initiala investeringar	Löpande årliga kostnader	Prioritetsnivå
Säkerhetssystem och infrastruktur	500 000 – 2 000 000 kr	100 000 – 400 000 kr	Hög
Utbildning och träning	150 000 – 500 000 kr	80 000 – 200 000 kr	Hög
Specialistkompetens och konsulter	200 000 – 800 000 kr	300 000 – 1 200 000 kr	Medel-Hög
Leverantörsgranskningar och certifieringar	100 000 – 300 000 kr	50 000 – 150 000 kr	Medel
Verktyg för övervakning och testning	200 000 – 600 000 kr	80 000 – 250 000 kr	Hög

Kostnader NIS2 är ofta lägre än riskerna med säkerhetsincidenter. NIS2-investeringar är en klok riskhanteringsåtgärd.

Anlita experter för att hjälpa er med NIS2. Det kan accelerera implementeringen och spara er från kostsamma misstag.

De som lyckas bäst med sin budget efterlevnad planerar långsiktigt. De bygger säkerhet in i processerna från början. Det är en kostnadseffektiv och hållbar säkerhetsposition.

Hur man kan förbereda sig för NIS2

De som lyckas bäst med NIS2 har tidigt gjort en noggrann analys av sina säkerhetssystem. En strukturerad metod är viktig för att göra denna transformation hanterbar. Genom att ta det en i tagen, kan ni göra förberedelse NIS2 till en del av er utveckling.

Det första steget är att förstå er digitala miljö och vilka delar som omfattas av lagstiftningen. En systematisk kartläggning ger er den insikt ni behöver för att fatta kloka beslut. Vi rekommenderar att ni samlar IT, säkerhet, juridik och ledning för att få en helhetsbild.

En gap-analys är den mest effektiva metoden för att börja med efterlevnad NIS2. Den jämför er nuvarande säkerhetsnivå med de krav som direktivet ställer. Det hjälper er att identifiera brister och skapa en plan där de viktigaste områdena prioriteras först.

Utvärdera befintliga system

En intern kartläggning är er startpunkt för att förstå det arbete som behövs. Vi föreslår att ni listar kritiska system och infrastruktur för att få en komplett bild av er digitala ekosystem. Detta inkluderar både era egna system och de från externa partners.

En effektiv gap-analys för förberedelse NIS2 bör täcka flera viktiga områden. Genom att systematiskt gå igenom dessa kan ni identifiera var ni har starka processer och var förbättringar krävs. Dokumentera era fynd noggrant för en bättre utgångspunkt för implementeringen.

• Riskhantering och styrning: Utvärdera era befintliga processer för att identifiera, bedöma och hantera cybersäkerhetsrisker
• Incidentrapportering: Kontrollera om ni har strukturer för att upptäcka, rapportera och hantera säkerhetsincidenter
• Leverantörssäkerhet: Granska era avtal med leverantörer för att säkerställa att säkerhetskrav är tydligt definierade
• Kontinuitetsplanering: Bedöm er förmåga att upprätthålla kritiska funktioner under en incident
• Säkerhetsmedvetenhet: Analysera er utbildningsprogram för att se hur väl olika roller förstår sina säkerhetsansvar

När ni har gjort en gap-analys kan ni skapa en plan där de mest kritiska bristerna prioriteras. Det innebär att börja med de områden där ni har störst risker. Vi hjälper er att skapa en realistisk tidsplan som balanserar brådskande behov med långsiktig hållbarhet.

Utvärderingsområde	Kritiska frågor att besvara	Prioritetsnivå
Incidentrapportering	Kan vi identifiera och rapportera säkerhetsincidenter till MSB inom 24 timmar?	Hög
Riskhanteringsprocess	Har vi dokumenterade och regelbundet uppdaterade riskbedömningar?	Hög
Leverantörsavtal	Innehåller våra avtal tydliga säkerhetskrav och ansvarfördelning?	Medel
Återställningsförmåga	Har vi testade planer för att återställa kritiska system efter en incident?	Hög

Utbildning av personal

Personalutbildning är viktig för förberedelse NIS2 eftersom direktivet kräver att alla får utbildning i cybersäkerhet. Detta är inte bara ett krav på pappret utan avgörande för att er säkerhetsstrategi ska fungera. Medarbetarna är er första försvarslinje och den största sårbarheten, beroende på deras kunskapsnivå.

Ett effektivt utbildningsprogram för efterlevnad NIS2 måste anpassas till olika roller. Grundläggande säkerhetsmedvetenhet behövs av alla, oavsett position. Specialiserad teknisk träning krävs för IT- och säkerhetspersonal som arbetar med implementering cybersäkerhet och incident response.

Ledning och styrelse har ett särskilt ansvar enligt NIS2. De behöver strategisk förståelse för cybersäkerhetsrisker. Vi rekommenderar utbildningsspår som tar hänsyn till dessa varierande behov. Detta kan inkludera allt från korta e-learningmoduler till djupgående workshoppar.

• Grundläggande säkerhetsmedvetenhet: Obligatorisk träning för alla anställda om vanliga hot och säkra arbetssätt
• Rollspecifik utbildning: Anpassad träning för olika funktioner baserat på deras säkerhetsansvar
• Ledarskapsprogram: Strategisk utbildning för ledning och styrelse om risker och ansvar
• Teknisk specialistträning: Avancerad utbildning för säkerhetsteam om incidenthantering och specifika säkerhetsteknologier

Vi vill understryka att förberedelse NIS2 är en kontinuerlig process. Cyberhot utvecklas ständigt, och era säkerhetsåtgärder måste följa med. Genom löpande utbildning och regelbunden översyn av processer kan ni upprätthålla och utveckla er cybersäkerhetspostur över tid.

Vikten av kontinuerlig övervakning

Att lyckas med NIS2 kräver att ni har rutiner för kontinuerlig övervakning. Detta är inte bara en enstaka åtgärd. Det kräver en ständig process för att hålla sig uppdaterad med nya hot och tekniker.

Hot mot cybersäkerhet ändras hela tiden. Ny teknik och nya sätt att attackera dyker upp varje dag. Ni måste ha system som kan upptäcka och hantera hot snabbt. Automatiserade verktyg som SIEM-system är bra, men mänsklig expertis är också viktig för att tolka och agera på varningar.

Tillsynsmyndigheter NIS2 kommer att ha mer makt att kontrollera er verksamhet. Ni måste kunna visa att ni följer reglerna när som helst. Dokumentation av säkerhetsåtgärder måste alltid vara tillgänglig, vilket gör kontinuerlig övervakning viktig.

Etablerade metoder för säkerhetsvalidering

Säkerhetstestning är viktigt för er säkerhetsstrategi. Ni ska proaktivt hitta svagheter innan de kan utnyttjas. Testa er verksamhet regelbundet, beroende på risknivå.

Sårbarhetsscanningar är också viktiga. De hjälper er att se vilka tekniska brister ni har. Automatiserade scanningar ger er en löpande översikt av er säkerhetsläge.

Penetrationstester ger djupare insikter i hur bra era försvar är. Använd kvalificerade experter för att testa era försvar. Övningar som red team/blue team hjälper er att förbereda er på avancerade hot.

Resultaten från säkerhetstestning måste dokumenteras noggrant. Använd resultaten för att förbättra er säkerhet. Skapa en strukturerad process för att åtgärda brister.

Systematisk granskning och vidareutveckling av säkerhetsramverk

Processrevision och uppdatering av säkerhetspolicyer är viktiga. De måste hållas aktuella med tiden. Många misslyckas med detta, vilket kan leda till problem vid inspektioner.

Granska och uppdatera era säkerhetspolicyer regelbundet. En årlig revision är bra, men uppdateringar ska ske när det behövs. Tillsynsmyndigheter NIS2 vill se att ni förbättrar er kontinuerligt.

Granska också era leverantörer noggrant. Det är viktigt att känna till deras säkerhetspraxis. Tillsynsmyndigheter NIS2 kommer att kolla hur ni hanterar leverantörer.

Kontinuerlig övervakning är inte bara för att följa regler. Det skapar också värde för er organisation. Genom att identifiera och åtgärda säkerhetsbrister minskar ni risker. Det stärker er förmåga att hantera incidenter och bygger förtroende hos kunder.

Vi kan hjälpa er att skapa dessa processer. Målet är att ha ett säkerhetsramverk som stärker er konkurrenskraft. Det visar er engagemang för cybersäkerhet och dataskydd.

Exempel på företag som drabbats av icke-efterlevnad

Verkliga exempel visar varför NIS2-lagstiftning straff är viktig. Cyberincidenter har lett till stora ekonomiska förluster och skada på varumärken. Det är viktigt att förstå varför NIS2 har strikta krav.

De senaste årens cyberincidenter har drabbat många branscher. Kritisk infrastruktur inom energi, hälsovård och transport har blivit särskilt utsatt. Brister i säkerhet kan få förödande konsekvenser.

Dokumenterade säkerhetsincidenter och deras påverkan

Energisektorn har drabbats hårt av cyberattacker. Ransomware-attacker har lett till driftstopp och stora kostnader. Grundorsaken har ofta varit brist på IT/OT-segmentering, enligt NIS2.

Leverantörskedjans sårbarheter är ett återkommande tema. Attacker har utnyttjat säkerhetsbrister hos tredjepartsleverantörer. Detta understryker NIS2:s fokus på leverantörssäkerhet.

Inom hälsovården har patientdata kommit på fel sätt. Otillräcklig kryptering och åtkomstkontroll har lett till stora förluster. Rykteskadan har tagit år att reparera.

Finanssektorn har också drabbats av stora incidenter. Otillräcklig patchhantering har lett till dataintrång. Kostnader för incident respons har varit betydligt högre än förebyggande åtgärder.

Sektor	Typ av incident	Huvudsaklig säkerhetsbrist	NIS2-krav som adresserar problemet
Energi	Ransomware-attack	Bristande IT/OT-segmentering	Nätverkssegmentering och riskhantering
Hälsovård	Dataintrång	Otillräcklig kryptering	Kryptering och åtkomstkontroll
Finans	Systemkompromiss	Bristande patchhantering	Kontinuerlig sårbarhetshantering
Transport	Leverantörsattack	Osäker leverantörskedja	Leverantörssäkerhetsgranskningar

Centrala lärdomar från säkerhetsincidenter

Proaktiv riskhantering är mer kostnadseffektiv än reaktiv problemlösning. Organisationer som investerar i förebyggande åtgärder undviker stora kostnader.

Ledningsförankring är kritisk för framgångsrik cybersäkerhet. I nästan alla fall där organisationer drabbats hårt saknades tillräckligt stöd från ledningen. NIS2 kräver att ledningen aktivt tar ansvar för säkerhetsstrategin.

Vikten av väl övade incidentresponsplaner är en annan central lärdom. Organisationer utan förberedda planer har drabbats av höga kostnader. Regelbundna övningar och tester av dessa planer är viktiga, enligt NIS2.

Leverantörskedjan är ofta den svagaste länken i säkerhetskedjan. NIS2 kräver nu explicit leverantörssäkerhet. Om organisationer inte är förberedda riskerar de sanktioner och störningar i kritiska verksamheter.

En holistisk säkerhetsansats är viktig. Säkerhet kan inte bara vara en teknisk fråga. Den måste omfatta människor, processer och teknologi över hela organisationen.

Kostnadsanalyser visar att konsekvenserna inkluderar driftsavbrott och höga kostnader. Långsiktiga effekter på varumärke och kundförtroende är också viktiga att överväga.

Dessa exempel är påminnelser om vikten av NIS2. Kraven baseras på hårda lärdomar från faktiska incidenter. Investeringar i efterlevnad är små jämfört med de potentiella kostnaderna.

NIS2 i ett internationellt sammanhang

Cyberhot stannar inte vid nationsgränser. Detta har lett till att länder runt om i världen utvecklar starkare säkerhetskrav. NIS2 internationellt är en viktig byggsten i Europa. Direktivet påverkar inte bara organisationer inom EU utan även företag över hela världen.

Det EU-direktiv som NIS2 representerar är en referenspunkt för modern cybersäkerhetsreglering. Det är viktigt för svenska företag som verkar globalt att förstå NIS2 i jämförelse med andra internationella ramverk.

Vi hjälper organisationer att navigera i detta komplexa landskap. Gränsöverskridande påverkan skapar både utmaningar och möjligheter. Den digitala ekonomins natur kräver en holistisk approach där nationella regelverk kompletterar varandra.

Globala standarder och jämförelser

När vi analyserar globala cybersäkerhetsstandarder ser vi en tydlig bild av konvergens. Olika jurisdiktioner utvecklar liknande krav. EU:s NIS2 skiljer sig genom sin omfattning och specifika krav.

USA har Cybersecurity Maturity Model Certification (CMMC) som fokuserar på försvarsindustrin. Singapore har Cybersecurity Act som betonar kritisk infrastruktur. Australiens Critical Infrastructure Protection Act omfattar 11 kritiska sektorer med liknande rapporteringskrav som NIS2.

För organisationer som behöver förstå om de omfattas av NIS2 är jämförelse med globala ramverk viktig. Vi har sammanställt en översikt som visar de viktigaste skillnaderna och likheterna:

Regulatoriskt ramverk	Geografisk räckvidd	Sektoriell täckning	Rapporteringskrav	Sanktioner
NIS2 (EU)	27 medlemsstater + EES	18 sektorer, bred tillämpning	24 timmar initial, 72 timmar detaljerad	Upp till 2% av global omsättning
CMMC (USA)	USA + försvarsleverantörer	Försvarsindustri och leverantörskedja	Enligt DFARS-krav	Förlust av kontrakt
Cybersecurity Act (Singapore)	Singapore	Kritisk infrastruktur, 11 sektorer	Inom rimlig tid efter upptäckt	SGD 100,000 böter eller fängelse
CIPA (Australien)	Australien	11 kritiska infrastruktursektorer	12 timmar för kritiska incidenter	AUD 15,000 per dag

Denna jämförelse visar att globala cybersäkerhetsstandarder konvergerar kring vissa kärnprinciper. Men implementeringen anpassas efter regionala behov. NIS2 är särskilt omfattande med både bred sektoriell täckning och djupa tekniska krav.

För organisationer som behöver förstå om de omfattas av NIS2 är jämförelse med globala ramverk viktig. Vi har sammanställt en översikt som visar de viktigaste skillnaderna och likheterna:

Regulatoriskt ramverk	Geografisk räckvidd	Sektoriell täckning	Rapporteringskrav	Sanktioner
NIS2 (EU)	27 medlemsstater + EES	18 sektorer, bred tillämpning	24 timmar initial, 72 timmar detaljerad	Upp till 2% av global omsättning
CMMC (USA)	USA + försvarsleverantörer	Försvarsindustri och leverantörskedja	Enligt DFARS-krav	Förlust av kontrakt
Cybersecurity Act (Singapore)	Singapore	Kritisk infrastruktur, 11 sektorer	Inom rimlig tid efter upptäckt	SGD 100,000 böter eller fängelse
CIPA (Australien)	Australien	11 kritiska infrastruktursektorer	12 timmar för kritiska incidenter	AUD 15,000 per dag

NIS2 stärker samarbetet mellan EU:s medlemsstaters tillsynsmyndigheter. Det skapar en mer koordinerad europeisk respons på cyberhot. Detta gör det svårare för attackerare att utnyttja skillnader mellan olika länders säkerhetsnivåer.

För globala organisationer är det viktigt att förstå och anpassa sig till denna ökade samordning mellan europeiska tillsynsmyndigheter.

För multinationella företag skapar NIS2 både utmaningar och möjligheter. Utmaningen ligger i komplexiteten att navigera olika regulatoriska krav i olika jurisdiktioner. Men det finns också möjligheter att etablera gemensamma globala säkerhetsstandarder.

Organisationer som proaktivt implementerar säkerhetskrav som möter eller överträffar NIS2:s standarder positionerar sig väl för framtida regulatoriska utvecklingar. Trenden mot strängare cybersäkerhetsreglering är global och långsiktig. Investeringar i att uppfylla NIS2 är relevant för EU-marknaden och skapar konkurrensfördelar på andra marknader.

Vi kan hjälpa er att utveckla en global cybersäkerhetsstrategi som tar hänsyn till både NIS2 och andra relevanta internationella ramverk. Genom att identifiera gemensamma nämnare och bygga en säkerhetsarkitektur som möter de mest omfattande kraven kan organisationer skapa effektivitet samtidigt som de säkerställer compliance över flera jurisdiktioner. Detta holistiska perspektiv blir allt viktigare i en värld där affärsverksamhet sker över gränser och cyberhot är globala till sin natur.

Framtidsutsikter för NIS2 och cybersäkerhet

Cybersäkerhetslandskapet förändras snabbt. NIS2-direktivet började gälla i januari 2023. EU-länder måste införa det i sin lagstiftning senast den 17 oktober 2024. I Sverige väntas det att börja tillämpas sommaren 2025.

Denna utveckling kommer att påverka säkerhetsarbetet i organisationer på lång sikt.

Förväntade förändringar i lagstiftningen

Regler för cybersäkerhet kommer att ändras ofta. När direktivet implementeras får vi nya lärdomar. Dessa lärdomar leder till nya vägledningsdokument och standarder.

Vi rekommenderar att organisationer deltar i dialogen med myndigheter. Det hjälper till att påverka och förstå reglerna.

Kraven kommer att öka med digitaliseringens hastighet. Produktionsprocesser blir snabbare och beslut baserade på data blir mer vanliga. Men det innebär också nya risker som kräver uppdaterade regler.

Innovationer inom cybersäkerhet

Innovationer är viktiga för att möta framtidens hot. AI och automatisering utvecklas snabbt. Zero trust-arkitekturer och kvantresistent kryptering är exempel på detta.

Vi betonar vikten av cyber resilience. Det handlar om att kombinera avancerad teknologi med kontinuerligt lärande och starkt ledarskap. Vi hjälper er att navigera denna utveckling genom att kombinera teknisk expertis med affärsdriven innovation.

Vanliga frågor om NIS2

Vilka böter riskerar min organisation om vi inte följer NIS2-direktivet?

NIS2 har strängare böter än tidigare. Väsentliga entiteter kan få böter upp till 10 miljoner euro. Viktiga entiteter kan få böter upp till 7 miljoner euro.

Detta är för att skapa en stark avskräckning. Kostnaden för att följa NIS2 är ofta lägre än böterna.

Hur snabbt måste vi rapportera en cybersäkerhetsincident enligt NIS2?

Ni måste rapportera en incident inom 24 timmar. Detta är för att myndigheterna ska kunna agera snabbt. Ni måste ha processer på plats för att kunna agera snabbt.

Omfattas mitt företag av NIS2-direktivet?

Ni bör göra en noggrann kartläggning. NIS2 täcker både ”väsentliga” och ”viktiga” entiteter i många sektorer. Det inkluderar energi, transport och hälsovård.

NIS2 ser inte bara på sektor utan även på företagsstorlek. Det innebär att även mindre företag kan omfattas.

Vad händer med företagsledningen om vi inte följer NIS2?

Företagsledningen bär stort ansvar för NIS2. De måste säkerställa att det finns en cybersäkerhetsstrategi. Detta är en ledningsfråga, inte bara en IT-fråga.

Vilka tekniska investeringar krävs för att uppfylla NIS2?

Investeringar kan inkludera säkerhetslösningar som intrångsdetektering. Ni behöver också verktyg för sårbarhetsskanning och krypteringslösningar.

En grundlig gap-analys är viktig för att identifiera era behov. Detta är en långsiktig investering i er verksamhet.

Hur påverkar NIS2 våra leverantörer och partners?

NIS2 fokuserar mer på leverantörskedjor. Ni måste säkerställa att leverantörer och partners följer säkerhetsstandarder. Detta är en direkt konsekvens av tidigare cyberincidenter.

Kan min organisation förlora sitt verksamhetstillstånd om vi inte följer NIS2?

Ja, myndigheter kan återkalla tillstånd om ni inte följer NIS2. Detta är en allvarlig risk. En proaktiv strategi för NIS2 är viktig för er verksamhetslivslängd.

Vilken myndighet övervakar NIS2-efterlevnad i Sverige?

Tillsynsmyndigheter kommer att ha större befogenheter. Ni måste kunna visa att ni följer NIS2 när som helst. Den svenska cybersäkerhetslagen kommer att träda i kraft 2025.

Hur mycket kostar det att implementera NIS2-efterlevnad?

Budgeten för NIS2 bör inkludera både initiala och löpande kostnader. Detta inkluderar teknik, utbildning och kompetensutveckling. Kostnaden för att följa NIS2 är ofta lägre än böterna.

Vad är skillnaden mellan ”väsentliga entiteter” och ”viktiga entiteter” under NIS2?

NIS2 delar in organisationer i två kategorier. Väsentliga entiteter har strängare krav och högre böter. Viktiga entiteter har lägre sanktioner men omfattas av säkerhetskrav.

Hur ofta måste vi genomföra säkerhetstestning enligt NIS2?

Ni måste genomföra säkerhetstestning kontinuerligt. Detta inkluderar sårbarhetsscanningar och penetrationstester. Resultaten ska dokumenteras och användas för att förbättra säkerheten.

Påverkar NIS2 företag utanför EU?

Ja, NIS2 kan påverka företag utanför EU. Icke-EU-baserade leverantörer till kritiska EU-organisationer måste följa NIS2. Detta är en del av en global trend mot strängare säkerhetskrav.

Vilken utbildning behöver vår personal för att uppfylla NIS2?

Personalen behöver utbildning i cybersäkerhet. Detta inkluderar grundläggande säkerhetsmedvetenhet och specialiserad teknisk träning. Ni måste ha rutiner för regelbunden utbildning.

Hur länge tar det att implementera NIS2-efterlevnad?

Implementeringstiden varierar beroende på er organisation. Det börjar med en grundlig gap-analys. Detta är början på en kontinuerlig process.

Vad händer om vi drabbas av en cyberattack trots NIS2-efterlevnad?

NIS2-efterlevnad skyddar inte mot alla attacker. Men ni kan rapportera incidenten snabbt. Ni kan också minimera skadorna och återställa snabbare.

Behöver vi anlita externa konsulter för NIS2-implementering?

Många organisationer behöver specialistkompetens. Detta kan vara genom rekrytering eller externa konsulter. Det är en klok investering för att göra det rätt från början.

Vad är de vanligaste misstagen organisationer gör när de implementerar NIS2?

Vanliga misstag inkluderar att se NIS2 som enbart en teknisk fråga. Det är viktigt att involvera alla relevanta funktioner från början. Starta med en grundlig gap-analys för att skapa en realistisk plan.

Hur mäter vi att vi uppfyller NIS2-kraven?

Ni bör etablera mätbara mål och KPI:er. Detta inkluderar tidsmässig övervakning och dokumentation. Kontinuerlig övervakning ger er realtidsdata om er säkerhetsstatus.

Vad är de långsiktiga fördelarna med NIS2-efterlevnad utöver att undvika böter?

NIS2-efterlevnad skapar långsiktig affärsvärde. Detta inkluderar ökad operativ resiliens och konkurrensfördelar. Det stärker också kundförtroendet och attraherar talang.