Vad är NIS2 och hur påverkas din organisation?

NIS2 (Network and Information Security Directive 2) är EU:s uppdaterade cybersäkerhetslagstiftning som kräver att aktörer inom kritisk infrastruktur och leverantörer av samhällsviktiga tjänster inför robusta säkerhetsåtgärder och rapporterar incidenter till myndigheterna. Direktivet vidgar tillämpningsområdet rejält jämfört med det ursprungliga NIS1-direktivet, inför strängare rapporteringskrav och tyngre sanktioner vid bristande efterlevnad - och berör över 160 000 organisationer i 18 sektorer i Europa.

Den här artikeln tar upp allt du behöver veta:

1. Vad är NIS2?
2. Vad är nytt jämfört med NIS1?
3. Vilka sektorer och verksamheter berörs?
4. Vilka krav gäller?
5. Vilka sanktioner finns?
6. Så förbereder du din organisation för NIS2

NIS2-direktivet förklarat

NIS2-direktivet (i sin helhet: Network and Information Security Directive 2022/0383) är hörnstenen i EU:s gemensamma lagstiftning om cybersäkerhet. Syftet är att stärka säkerheten i nätverks- och informationssystem i Europa. Det kräver att aktörer inom kritisk infrastruktur och leverantörer av samhällsviktiga tjänster inför nödvändiga säkerhetsåtgärder och rapporterar incidenter till myndigheterna.

NIS2 är en uppdatering av det ursprungliga NIS1-direktivet från 2016 och trädde i kraft i januari 2023. EU:s medlemsstater har till den 17 oktober 2024 på sig att införliva direktivet i nationell lagstiftning. Det innebär att varje organisation som omfattas är skyldig att uppfylla kraven vid slutet av 2024. Totalt berör NIS2 mer än 160 000 organisationer i Europa.

De viktigaste förändringarna från NIS1 till NIS2

De senaste åren har samhällets säkerhet utmanats av händelser som covid-19, kriget i Ukraina och nya cyberhot. Samtidigt har vårt beroende av nätverks- och informationssystem vuxit, vilket krävde en uppdatering av den befintliga lagstiftningen för att stärka den digitala och ekonomiska motståndskraften i medlemsstaterna.

Jämfört med NIS1 har tillämpningsområdet vidgats rejält. Kraven på säkerhetsåtgärder och incidentrapportering har också skärpts, och konsekvenserna av bristande efterlevnad är betydligt hårdare.

Sektorer och verksamheter som omfattas av NIS2

Omfattas din organisation av NIS2-direktivet? Direktivet täcker 18 sektorer i två kategorier: sektorer av “kritisk betydelse” och “övriga kritiska” sektorer. Skillnaden ligger främst i tillsyn och sanktioner. Organisationer i båda kategorierna måste däremot uppfylla samma krav.

De 18 sektorer som omfattas av NIS2

Sektorer av kritisk betydelse:

• Energi
• Transport
• Bankverksamhet
• Finansmarknadsinfrastruktur
• Hälso- och sjukvård
• Dricksvatten
• Avloppsvatten
• Digital infrastruktur
• Förvaltning av IKT-tjänster
• Offentlig förvaltning
• Rymden

Övriga kritiska sektorer:

• Post- och budtjänster
• Avfallshantering
• Tillverkning, produktion och distribution av kemikalier
• Produktion, bearbetning och distribution av livsmedel
• Tillverkning (av medicintekniska produkter, datorer, elektronik och optik, elapparatur, maskiner och utrustning, motorfordon, släpfordon och påhängsvagnar, annan transportutrustning)
• Digitala leverantörer
• Forskning

Om din organisation hör till någon av kategorierna kan du beröras av NIS2.

NIS2 definierar också två kategorier av organisationer som måste uppfylla kraven: “väsentliga” och “viktiga” entiteter.

Väsentliga och viktiga entiteter enligt NIS2

Väsentliga entiteter:

• Organisationer i sektorer av “kritisk betydelse” med fler än 250 anställda, en årsomsättning över 50 miljoner euro eller en balansomslutning över 43 miljoner euro
• Tillhandahållare av betrodda tjänster, registerenheter för toppdomäner och DNS-leverantörer, oavsett storlek
• Leverantörer av allmänna elektroniska kommunikationsnät eller kommunikationstjänster med 50-250 anställda eller mer än 10 miljoner euro i omsättning
• Offentlig förvaltning (central nivå)
• Andra viktiga organisationer som är enda leverantör av tjänsten i landet, eller där ett avbrott i tjänsten kan få stor påverkan

Viktiga entiteter:

• Organisationer i “övriga kritiska” sektorer med fler än 50 anställda eller en årsomsättning över 10 miljoner euro
• Organisationer i sektorer av “kritisk betydelse” med 50-250 anställda, en årsomsättning på 10-50 miljoner euro eller en balansomslutning på 10-43 miljoner euro.

Små företag med färre än 50 anställda och en omsättning under 10 miljoner euro är inte automatiskt undantagna. Medlemsstaterna får räkna dem som “kritiska” eller “viktiga” om deras tjänster spelar en nyckelroll i samhället eller om ett avbrott skulle få betydande konsekvenser för folkhälsan eller säkerheten.

Väsentliga entiteter kan kontrolleras proaktivt mot NIS2, medan viktiga entiteter bara granskas efter en anmälan.

NIS2 gäller även organisationer utanför EU som levererar till EU

Om din organisation inte finns i EU kanske du tror att NIS2 inte gäller dig. Tyvärr är det så att om organisationen hör till någon av kategorierna ovan och levererar tjänster inom EU måste den följa NIS2-direktivet.

NIS2-direktivet ställer särskilda krav på organisationer utanför EU. En sådan entitet som levererar tjänster inom EU måste utse en företrädare i en medlemsstat där tjänsterna tillhandahålls. Den personen ska bevaka att organisationen följer NIS2.

Organisationer utanför tillämpningsområdet kan ändå beröras

Om din organisation inte omfattas behöver du inte oroa dig för sanktionsavgifter eller för att uppfylla kraven direkt. Men chansen är stor att du ändå påverkas av NIS2.

Om du till exempel levererar tjänster eller produkter till en entitet som omfattas av NIS2 kan den kunden kräva att du håller en viss nivå på cybersäkerheten. Då granskas du inte av tillsynsmyndigheten för NIS2, utan av kunden.

Det kan vara klokt att ändå anpassa säkerhetsåtgärderna efter NIS2-direktivet. Då blir det enklare att samarbeta med andra företag, och du kan visa dina kunder att du uppfyller kraven och går att lita på.

Kraven för att uppfylla NIS2

Din organisation omfattas alltså av NIS2-direktivet. Vad innebär det, och vad är nästa steg?

Registrering hos nationella myndigheter

Senast den 17 april 2025 ska medlemsstaterna ha identifierat alla väsentliga och viktiga entiteter som omfattas. Hur registreringen går till blir tydligt när direktivet införlivas i nationell rätt. Registreringen omfattar åtminstone följande uppgifter:

• Namn, adress och organisationsnummer
• Sektor
• Kontaktuppgifter
• Medlemsstater där organisationen är verksam
• Tilldelade IP-adresser

Fyra huvudsakliga skyldigheter

Det leder oss till huvudfrågan: vilka åtgärder och skyldigheter gäller för de organisationer som omfattas? NIS2 delar in kraven i fyra huvudområden:

• Riskhantering: företagen ska vidta åtgärder som minimerar cyberrisker, till exempel incidenthantering, starkare säkerhet i leveranskedjan, bättre nätverkssäkerhet, bättre behörighetskontroll och kryptering
• Ansvar: ledningen ska utbildas och ska följa upp organisationens cybersäkerhetsåtgärder och hantera risker. Överträdelser kan leda till sanktioner
• Rapportering: organisationerna måste ha rutiner för att snabbt rapportera betydande säkerhetsincidenter
• Kontinuitet: organisationerna ska planera hur verksamheten ska kunna fortsätta vid en cyberincident

Tio minimiåtgärder för säkerhet enligt NIS2

Utöver de fyra huvudområdena anger NIS2 10 grundläggande säkerhetsåtgärder för väsentliga och viktiga entiteter:

• Riskanalys och säkerhet i informationssystem
• Utvärdering av säkerhetsåtgärderna
• Riktlinjer och rutiner för användning av kryptografi och, när det är relevant, kryptering
• En plan för hantering av säkerhetsincidenter
• Säkerhet vid anskaffning, utveckling och underhåll av nätverks- och informationssystem, inklusive rapportering av sårbarheter
• Utbildning i cybersäkerhet och grundläggande cyberhygien
• Behörighetsregler och säkerhetsrutiner för medarbetare med åtkomst till känsliga eller viktiga uppgifter
• En plan för kontinuitet under och efter en säkerhetsincident
• Användning av flerfaktorsautentisering eller kontinuerlig autentisering, och kryptering av kommunikation
• Säkerhet i leveranskedjor och i relationer med leverantörer

Tidsgränser för incidentrapportering enligt NIS2

Om en säkerhetsincident inträffar måste du underrätta rätt myndighet inom följande tider:

Sanktioner vid bristande efterlevnad

NIS2-direktivet definierar två kategorier av organisationer som omfattas, med olika sanktionsnivåer:

• Väsentliga entiteter är stora organisationer (>250 anställda eller >50 miljoner euro i vinst) i sektorer som transport, energi, vatten och rymden
• Viktiga entiteter är medelstora organisationer (>50 anställda eller >10 miljoner euro i vinst) i sektorerna ovan, samt stora och medelstora organisationer i sektorer som livsmedel, digitala tjänster och forskning

Kraven är desamma för båda kategorierna. Skillnaden ligger i tillsyn och sanktioner.

Sanktionsavgifter och andra påföljder

! Medlemsstaterna får bestämma att sanktionsavgifter inte gäller offentliga organ. Övriga påföljder gäller dock.

Tillsyn: proaktiv eller reaktiv

Så förbereder du din organisation för NIS2

Om du inte omfattas kan du andas ut. Men du är inte helt fri. Gör en lista över de företag du samarbetar med som kommer att behöva följa NIS2 och fundera på vad det betyder för din organisation. Fundera också på om och hur du kan införa de nya säkerhetsåtgärderna ändå, eftersom de gör nytta i längden.

Om du omfattas är det dags att sätta i gång. Följ de här stegen för att komma i gång med förberedelserna:

1. Gör en riskanalys. Vilka säkerhetsrisker finns? Hur sannolika är de? Vilken påverkan kan de få? Och vilka åtgärder finns redan på plats för att begränsa riskerna?

2. Uppdatera säkerhetspolicyerna. Utgå från riskanalysen och uppdatera befintliga policyer eller ta fram nya. Se till att du täcker de 10 grundkraven i NIS2.

3. Inför säkerhetsåtgärderna. Några alternativ: bättre nätverkssäkerhet, striktare behörighetskontroll, kryptering och säkring av leveranskedjan. Ett digitalt besökshanteringssystem hjälper dig en bra bit på vägen: det ger kontroll över besökshanteringen, lagrar besökarnas personuppgifter säkert och förenklar incidentrapporteringen genom att hålla korrekta loggar över allt som sker.

4. Ta fram rutiner för att upptäcka, följa, åtgärda och rapportera incidenter.

5. Utbilda ledning och personal. Vilka medarbetare har kritiska funktioner i organisationen? Gör dem medvetna om riskerna och säkerhetsåtgärderna.

6. Förbered dig för revisioner och inspektioner. Håll tydlig och komplett dokumentation över säkerhetspolicyer, riskanalyser, incidentrapporter och efterlevnadsarbete.

NIS2 som en chans att stärka cybersäkerheten

NIS2-direktivet är en milstolpe i EU:s arbete med att höja cybersäkerhetsnivån inom unionen. För de organisationer som omfattas är NIS2 inte bara en rättslig skyldighet, utan också en chans att stärka cybersäkerheten, skydda sina uppgifter och bygga förtroende hos kunder och partner.

Direktivet kräver ett proaktivt arbetssätt, och där spelar ett digitalt besökshanteringssystem en nyckelroll. Ett sådant system hjälper till att uppfylla NIS2-kraven på flera sätt. Det stärker behörighetskontrollen och skyddar besökarnas personuppgifter mot cyberhot. Dessutom håller systemet korrekta loggar över besöken, vilket gör det enklare att bedöma risker, stärker säkerheten i leveranskedjan och underlättar hanteringen och rapporteringen av en säkerhetsincident.

Vill du se hur ett modernt besökshanteringssystem kan hjälpa din verksamhet? Testa Vizito under en provperiod på 14 dagar. Chatta med oss eller boka en demo om hur Vizito kan lyfta din reception.