Guide för offentlig sektor: Vad är lägstanivån enligt cybersäkerhetslagen och hur når ni dit?

Cybersäkerhetslagen gör NIS2 till svensk lag och sätter en tydlig lägstanivå för cybersäkerhet inom offentlig sektor. I denna guide går vi igenom vad lägstanivån faktiskt innebär. Från ledningsansvar och tekniskt grundskydd till leverantörskrav och OT-säkerhet, och hur kommuner och regioner når dit steg för steg.

1. Ledningsansvar enligt NIS2: Här börjar cybersäkerhetarbetet

Säkerhetsarbete börjar inte med teknikköp. Det börjar med ledningens beslut. Enligt NIS2 är ledningsgruppen personligt ansvarig för efterlevnad. Ni ska kunna svara på frågan: vilka är våra största cyberrisker och vad gör vi åt dem?

Tyvärr finns det inget som heter ett 100% säkert cyberskydd. Ni kommer drabbas av incidenter. Skillnaden ligger i hur väl ni hanterar dem. Cybersäkerhetslagen ger er en lägstanivå att utgå från:

Incidenthantering: En levande plan som testas regelbundet, inte ett bortglömt dokument.
Rapportering. En tydlig rutin för rapportering till myndigheter enligt kraven i NIS2.
Roller. Definiera vem som gör vad när det smäller.

2. Tekniskt grundskydd: MFA, EDR och den mänskliga brandväggen

Strukturerade processer i all ära, men det finns självklart tekniska åtgärder som är icke-förhandlingsbara i ett heltäckande grundskydd:

MFA är den enskilt viktigaste åtgärden och säkerställer att den som loggar in är rätt person.
Skydd på endpoints (EDR/XDR) upptäcker och stoppar misstänkt aktivitet på tex datorer och servrar innan den sprids.
Central loggning (SIEM) samlar och analyserar loggar från era system för att upptäcka och utreda attacker.
Sårbarhetshantering är en kontinuerlig process som lokaliserar och åtgärdar sårbarheter. Denna regelbundna patchning är grundläggande för att förhindra att sårbarheter utnyttjas.

Den mänskliga brandväggen

Men tekniska skydd är fortfarande meningslösa utan medvetna användare. Attacker börjar ofta med att en medarbetare klickar på fel länk. Komplettera med kontinuerlig utbildning och simulerade attacker. Och kanske viktigast av allt, sträva efter en kultur där det är okej att ställa frågor. Medarbetare som vågar ifrågasätta är ert bästa skydd.

Men tekniska skydd är fortfarande meningslösa utan medvetna användare

3. Leverantörskrav och OT-säkerhet i offentlig verksamhet

Nästa steg är att se över leverantörsledet. Många attacker sker via leverantörskedjan. Ställ tydliga säkerhetskrav i upphandlingar och följ aktivt upp att kritiska leverantörer lever upp till dem.

Offentlig sektor har dessutom en unik risk där IT kopplas ihop med operativ teknik (OT) som styr vatten, ventilation och energi. Samhällsviktiga system där intrång får fysiska konsekvenser. Säkerställ:

Nätverkssegmentering. En digital branddörr mellan IT och OT så intrång inte sprider sig vidare.
Välplanerade servicefönster. Uppdatera system utan att störa samhällsviktig drift.
Redundans. Så kritiska funktioner fortsätter även om ett system slås ut.

4. Scenarioövningar: Testa ert cyberskydd innan ni behöver det

Cybersäkerhet är en cyklisk process. Utöver löpande uppföljning behöver ni öva på scenarier som utmanar hela verksamheten: ett större cyberangrepp där flera system slås ut, bortfall av internetuppkoppling, eller höjd nationell beredskap. Öva gärna tillsammans med andra offentliga aktörer och testa om era planer håller innan ni behöver dem på riktigt.

Läs mer i vår rapport om digitalisering i offentlig sektor

5 vanliga frågor och svar om vad cybersäkerhetslagen och NIS2 innebär för offentlig sektor

Vad innebär cybersäkerhetslagen för kommuner och regioner?
Cybersäkerhetslagen är den svenska implementeringen av EU:s NIS2-direktiv. Den ställer krav på att offentliga verksamheter har strukturerad riskhantering, incidenthantering och rapporteringsrutiner. Ledningsgruppen bär ett personligt ansvar för efterlevnad.
Vad är lägstanivån för cybersäkerhet enligt NIS2?
Lägstanivån omfattar dokumenterad incidenthantering som testas regelbundet, tydliga rapporteringsrutiner till myndigheter, definierade roller vid incidenter samt tekniskt grundskydd i form av MFA, endpoint-skydd, central loggning och kontinuerlig sårbarhetshantering.
Vilka tekniska åtgärder krävs för grundskydd i offentlig sektor?
De viktigaste åtgärderna är multifaktorautentisering (MFA), endpoint-skydd (EDR/XDR) på datorer och servrar, central loggning och analys (SIEM) samt kontinuerlig sårbarhetshantering och patchning. Dessa kompletteras med säkerhetsutbildning för medarbetare.
Hur skyddar offentlig sektor operativ teknik som styr vatten och energi?
Genom strikt nätverkssegmentering mellan IT och OT, välplanerade servicefönster för uppdateringar som inte stör samhällsviktig drift, samt redundans som säkerställer att kritiska funktioner fortsätter även om enskilda system slås ut.
Hur ofta bör offentlig sektor öva på cyberincidenter?
Cybersäkerhet är en cyklisk process som kräver regelbunden övning. Utöver löpande uppföljning bör verksamheten genomföra scenarioövningar för större angrepp, bortfall av internet och höjd beredskap, gärna tillsammans med andra offentliga aktörer.

Hör av er så berättar vi mer om hur ni kan stärka ert skydd