NIS2 för kommuner, regioner och kommunala bolag: En guide till cybersäkerhetslagen

Kommun eller kommunalt bolag? Hur tolkar vi lagen?

Kraven på säkerhetsåtgärder är desamma. Men ett kommunalt bolag är en egen verksamhetsutövare, inte en del av kommunen. Därför finns fyra områden som bolaget bör titta närmare på:

• Omfattning: omfattas bolaget, och är det väsentlig eller viktig verksamhetsutövare? Det beror på sektor och storlek.
• Ledning: det är bolagets styrelse och vd som bär ansvaret, inte kommunstyrelsen.
• Tillsyn: bolaget har oftast en annan tillsynsmyndighet än kommunen, beroende på sektor.
• Sanktionsavgift: reglerna för bolag skiljer sig från reglerna för kommuner och regioner.

Oavsett om ni är kommun, region eller bolag ser vägen till en lägstanivå likadan ut. Så här tar ni er dit, steg för steg.

1. Ledningsansvar enligt NIS2: Här börjar cybersäkerhetarbetet

Säkerhetsarbete börjar inte med teknikköp. Det börjar med ledningens beslut. Enligt NIS2 är ledningsgruppen personligt ansvarig för efterlevnad. Ni ska kunna svara på frågan: vilka är våra största cyberrisker och vad gör vi åt dem?

I ett kommunalt bolag är det bolagets styrelse och vd som bär ansvaret. Ledningen ska genomgå utbildning i cybersäkerhet och få en lägesbild minst en gång om året.

Tyvärr finns det inget som heter ett 100% säkert cyberskydd. Ni kommer drabbas av incidenter. Skillnaden ligger i hur väl ni hanterar dem. Cybersäkerhetslagen ger er en lägstanivå att utgå från:

• Incidenthantering: En levande plan som testas regelbundet, inte ett bortglömt dokument.

• Rapportering. En tydlig rutin för rapportering till myndigheter enligt kraven i NIS2.

• Roller. Definiera vem som gör vad när det smäller.

2. Tekniskt grundskydd: MFA, EDR och den mänskliga brandväggen

Strukturerade processer i all ära, men det finns självklart tekniska åtgärder som är icke-förhandlingsbara i ett heltäckande grundskydd:

• MFA är den enskilt viktigaste åtgärden och säkerställer att den som loggar in är rätt person.

• Skydd på endpoints (EDR/XDR) upptäcker och stoppar misstänkt aktivitet på tex datorer och servrar innan den sprids.
• Central loggning (SIEM) samlar och analyserar loggar från era system för att upptäcka och utreda attacker.
• Sårbarhetshantering är en kontinuerlig process som lokaliserar och åtgärdar sårbarheter. Denna regelbundna patchning är grundläggande för att förhindra att sårbarheter utnyttjas.

Den mänskliga brandväggen

Men tekniska skydd är fortfarande meningslösa utan medvetna användare. Attacker börjar ofta med att en medarbetare klickar på fel länk. Komplettera med kontinuerlig utbildning och simulerade attacker. Och kanske viktigast av allt, sträva efter en kultur där det är okej att ställa frågor. Medarbetare som vågar ifrågasätta är ert bästa skydd.

3. Leverantörskrav och OT-säkerhet i offentlig verksamhet

Nästa steg är att se över leverantörsledet. Många attacker sker via leverantörskedjan. Ställ tydliga säkerhetskrav i upphandlingar och följ aktivt upp att kritiska leverantörer lever upp till dem.

Gå också igenom avtal som redan finns. Avtal som ingicks före 1 oktober 2026 ska ses över och vid behov kompletteras med krav på cybersäkerhet. Det gäller särskilt styrsystemen i vattenverk, värmeverk och avfallsanläggningar, som ofta drivs av kommunala bolag.

Som leverantör av samhällskritiska tjänster har ni dessutom en unik risk där IT kopplas ihop med operativ teknik (OT) som styr tex vatten, ventilation och energi. System där intrång får fysiska konsekvenser. Säkerställ:

• Nätverkssegmentering. En digital branddörr mellan IT och OT så intrång inte sprider sig vidare.

• Välplanerade servicefönster. Uppdatera system utan att störa samhällsviktig drift.

• Redundans. Så kritiska funktioner fortsätter även om ett system slås ut.

4. Scenarioövningar: Testa ert cyberskydd innan ni behöver det

Cybersäkerhet är en cyklisk process. Utöver löpande uppföljning behöver ni öva på scenarier som utmanar hela verksamheten: ett större cyberangrepp där flera system slås ut, bortfall av internetuppkoppling, eller höjd nationell beredskap. Öva gärna tillsammans med andra offentliga aktörer och testa om era planer håller innan ni behöver dem på riktigt.