EU:s nya cybersäkerhetsdirektiv NIS2 ställer högre krav på hur organisationer arbetar med IT- och informationssäkerhet. För många företag innebär det nya skyldigheter, tydligare ansvar och behov av ett mer strukturerat säkerhetsarbete.
Den här guiden ger dig en överblick över vad NIS2 är, vilka som berörs och hur ni som företag bör förbereda er.
Vad är NIS2 och cybersäkerhetslagen?
NIS2 (Network and Information Security Directive 2) är ett EU-direktiv som syftar till att stärka cybersäkerheten inom EU. Direktivet ersätter det tidigare NIS-direktivet och omfattar fler verksamheter, tydligare krav och skärpta sanktioner. Målet är att minska risken för cyberattacker, driftstopp och informationsläckor som kan få stora konsekvenser – både för enskilda företag och för samhället i stort.
Vilka företag och organisationer omfattas?
NIS2-direktivet gäller både väsentliga och viktiga verksamheter. Det handlar bland annat om företag och organisationer inom:
- IT- och digitala tjänster
- Energi och infrastruktur
- Tillverkning och industri
- Transport och logistik
- Hälso- och sjukvård
- Offentlig sektor
Även underleverantörer och IT-partners till dessa verksamheter kan omfattas av kraven.
En tumregel att utgå efter: Om er verksamhet är beroende av IT för att fungera – eller är leverantör till samhällsviktiga funktioner – är det stor sannolikhet att NIS2 berör er.
Vad kräver NIS2 i praktiken?
NIS2 ställer krav på att organisationer arbetar systematiskt och dokumenterat för att stärka cybersäkerheten. Det innefattar inte bara teknik, utan även processer och ansvar.
Exempel på krav är:
Riskhantering och säkerhetsåtgärder
Organisationer behöver identifiera vilka IT- och informationsrisker som finns i verksamheten, och vidta åtgärder för att minska dem.
Det kan handla om:
- Att skydda nätverk och system från cyberattacker.
- Säkerställa skydd av nätverk, system och data så att viktig information inte förloras eller läcker.
- Införa tekniska och organisatoriska säkerhetsåtgärder och rutiner för olika scenarier, så att ni snabbt kan agera vid problem.
Incidenthantering
Om något går fel – till exempel vid en cyberattack, ett driftstopp i molntjänster eller intrång i leverantörskedjan, ställer NIS2 tydliga krav på hur organisationer ska agera.
Ni behöver ha etablerade rutiner för att snabbt och strukturerat kunna:
- Upptäcka, hantera och rapportera IT-incidenter.
- Säkerställa vem som ansvarar för att åtgärda incidenten.
- Snabbt kunna rapportera allvarliga incidenter till ansvarig myndighet.
Ledningens ansvar
NIS2 betonar att ledningen måste vara aktivt engagerad i säkerhetsarbetet. Det handlar om att fatta beslut, avsätta resurser och följa upp att rutiner fungerar i praktiken.
- Företagsledningen har ett uttalat ansvar för cybersäkerheten.
- Beslut och åtgärder ska vara förankrade på ledningsnivå.
Leverantörssäkerhet och samarbetspartners
Organisationer behöver säkerställa att även IT-leverantörer och samarbetspartners lever upp till grundläggande säkerhetskrav för att undvika att bli utsatta för risker via tredjepart.
Vad händer om man inte följer NIS2?
Vid bristande efterlevnad kan det leda till följande konsekvenser:
- Höga sanktionsavgifter.
- Förelägganden från tillsynsmyndighet.
- Skadat förtroende hos kunder och samarbetspartners.
- Ökad risk för kostsamma IT-incidenter.
Hur kan man förbereda sig?
För många företag är NIS2 inte bara ett regelverk – utan en möjlighet att höja sin digitala motståndskraft.
Ett bra första steg är att:
- Kartlägga nuläget för IT- och informationssäkerhet.
- Identifiera gap mot NIS2-kraven.
- Införa tydliga rutiner, ansvar och dokumentation.
- Säkerställa att ni har rätt tekniska lösningar och övervakning.
Hur kan vi på Midcon hjälpa till?
Midcon hjälper dig och ditt företag att:
- Tolka vad NIS2 innebär för just er verksamhet.
- Strukturera och stärka IT- och informationssäkerheten.
- Införa säkra, skalbara och moderna IT-lösningar.
- Skapa en trygg och driftsäker IT-miljö.
Vi arbetar med allt ifrån säker Microsoft 365-miljö, övervakning och incidenthantering, till löpande IT-drift och rådgivning. Läs mer om våra IT-tjänster här.
Vill ni veta mer om era skyldigheter – eller få en första kostnadsfri genomgång?
Kontakta oss på Midcon så går vi igenom era förutsättningar och hjälper er att ta nästa steg mot en tryggare och mer motståndskraftig IT-miljö.
För fördjupad information om NIS2-direktivet och svenska regelverk rekommenderar vi att läsa mer hos MCF.
