Vad är NIS2?
NIS är ett EU-direktiv som trädde i kraft för första gången i augusti 2018 med syfte att etablera och upprätthålla en hög säkerhetsnivå bland samhällsviktiga nätverk och aktörer inom EU. Sedan dess har hotbilden förändrats och cybersäkerhetskraven ökat vilket i december 2022 resulterade i NIS2 – ett reviderat direktiv med skärpta krav på säkerhetstestning, risk- och incidenthantering samt rapportering.
När NIS-direktivet trädde i kraft 2018, omfattades dels leverantörer av samhällsviktiga tjänster vilket inkluderade aktörer inom energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, leverans av dricksvatten och digital infrastruktur. Men även digitala tjänster vilket omfattade aktörer inom internetbaserade marknadsplatser, internetbaserade sökmotorer och molntjänster.
När NIS blir NIS2
Sedan dess har digitaliseringstakten ökat vilket skapat fler attackytor och en mer utvecklad hotbild – en utveckling som resulterade i det reviderade direktivet NIS2, som träder i kraft i oktober 2024. Detta innebar ny kategorisering av de sektorer som ingick i direktivet. Istället för indelningen samhällsviktiga och digitala tjänster, delas sektorerna in i kritiska, väsentliga eller viktiga entiteter. Fler sektorer har adderats, vilket göra att NIS2 nu utöver tidigare nämnda områden, även omfattar aktörer inom:
- Avloppshantering
- Avfallshantering
- Fjärrvärme, fjärrkyla och vätgas
- Livsmedel
- Offentlig förvaltning
- Tillverkningsindustrin
- Postverksamhet
- Rymdverksamhet
Vilka krav innebär NIS2?
NIS2 innebär risk- och incidenthantering samt aktivt arbete, både tekniskt och organisatoriskt, för att förebygga cybersäkerhetsincidenter inom verksamheten. Följande krav är bra att ha koll på:
-
Riskanalys. Utred vilka säkerhetshot och risker som är kopplade till er verksamhet och vilka åtgärder som måste vara på plats för att hantera dessa. En väg dit är genom kartläggning av er IT-miljö inklusive system, integrationer och data.
-
Incidenthantering. Upprätta en plan för vilka rutiner som gäller vid en cybersäkerhetsincident, hur era tjänster ska återställas och hur incidenten ska rapporteras. Cybersäkerhetsutbildning krävs inom hela organisation från golv till styrelserum, så alla medarbetare vet hur de ska agera vid tecken på intrång.
-
Säkerhetsåtgärder. Se till att ha både tekniska och organisatoriska säkerhetsåtgärder på plats för att skydda er miljö, ert nätverk och era informationssystem. Nordlo kan hjälpa er med bland annat säkerhetstestning, SOC och EDR.
-
Incidentrapportering. Om en allvarlig säkerhetsincident sker ska den rapporteras till er myndigheten för cybersäkerhet. Vilka incidenter som ska rapporteras skiljer sig mellan olika aktörer. Läs mer här
-
Leverantörssäkerhet. Få rätt säkerhetslösningar på plats i hela leveranskedjan från verksamheten till leverantörer och tjänsteleverantörer.
-
Samarbete. I NIS2 stärks samarbetet mellan nationella myndigheter för cybersäkerhet och andra tjänsteleverantörer för att utbyta information om hot och sårbarheter. Målet är att samordna kraven på cybersäkerhet mellan medlemsländer för att minska regelkrångel för aktörer verksamma i flera länder.
För att sammanfatta kan man säga att det reviderade direktivet innebär skärpta krav på risk- och incidenthantering, säkerhetstestning, samordning och rapportering. Detta inkluderar minimikrav för säkerhetsåtgärder, ökade och mer specifika rapportskyldigheter samt ökade rättsmedel och sanktioner för att se till att direktivet följs. Dessutom verkar NIS2 för bättre samarbete och informationsdelning mellan myndigheter, medlemsstater och aktörer.
Vad händer om man inte uppfyller kraven?
Från det att direktivet godkändes i december 2022 har medlemsstaterna inom EU 21 månader på sig, till oktober 2024, att införliva direktivet i nationell lagstiftning. Konsekvenserna ser annorlunda ut i olika länder och man bestraffas i det medlemsland där man har sitt huvudsakliga säte. Om man efter lagstadgande inte efterlever kraven i Sverige kan man få sanktioner upp till 10 miljoner euro, eller 2% av er totala, globala årsomsättning.
Även utebliven rapportering av allvarliga säkerhetsincidenter kan leda till påföljder och sanktioner. Om din verksamhet ingår bland de aktörer som omfattas av NIS2 är det viktigt att du kan presentera bevis för att regler och ramverk efterföljs. Vi kan hjälpa dig att skapa ett strukturerat säkerhetsarbete och skydd för din verksamhet.