Sverige sent ute
EU:s medlemsländer skulle ha infört NIS2 senast hösten 2024. Sverige är ett av flera länder som blivit försenade och har fått en så kallad reasoned opinion från EU-kommissionen, vilket har skapat osäkerhet på marknaden.
Många organisationer har därför avvaktat i väntan på exakt lagtext och föreskrifter, trots att direktivets inriktning varit känd länge. Det har skjutit upp viktiga förberedelser, samtidigt som hotbilden fortsatt att öka.
Men Sverige är inte ensamt. Flera EU-länder har varit sena, medan andra, som Finland och Danmark, redan haft lagstiftningen på plats och kommit längre i det praktiska arbetet med tillsyn och efterlevnad.
Vad innebär lagen i praktiken?
Den nya cybersäkerhetslagen innebär att cybersäkerhet blir en tydligt reglerad ledningsfråga. Kraven omfattar bland annat:
- systematiskt och riskbaserat informations- och cybersäkerhetsarbete
- tekniska och organisatoriska skyddsåtgärder
- incidentrapportering inom snäva tidsramar
- kontinuitets- och återhämtningsförmåga
- hantering av risker i leverantörskedjan
Lagen gäller bland annat regioner, kommuner och kommunalförbund inom sektorn offentlig förvaltning, liksom ett stort antal verksamheter inom 18 utpekade sektorer – till exempel energi, transport, bank och finans, hälso- och sjukvård, digital infrastruktur, livsmedel, avfallshantering och delar av tillverkningsindustrin.
Som huvudregel omfattas medelstora och stora organisationer inom dessa sektorer, men även mindre aktörer kan träffas om de tillhandahåller särskilt kritiska tjänster. Dessutom påverkas många fler indirekt, genom skärpta säkerhets- och uppföljningskrav från kunder och uppdragsgivare.
Skärpt ansvar för vd och styrelse
En av de största förändringarna är att ansvaret för cybersäkerheten tydligt flyttas upp till högsta ledningsnivå. Vd och styrelse ska inte bara godkänna säkerhetsåtgärder, utan också följa upp att de fungerar i praktiken.
Vid allvarliga brister kan sanktionsavgifter uppgå till 10 miljoner euro eller 2 procent av den globala omsättningen, beroende på typ av verksamhet. I vissa fall kan även personligt ansvar aktualiseras.
Trots det är kännedomen om det skärpta ledningsansvaret fortfarande på många håll låg, särskilt utanför de mest reglerade sektorerna.
Incidentrapportering – ett av de största skiftena
Lagen ställer krav på snabb incidentrapportering i flera steg. Men rapportering förutsätter faktisk förmåga: att kunna upptäcka incidenter, avgöra vad som är rapporteringspliktigt och agera strukturerat när något händer.
Syftet är större än den enskilda organisationen. Genom rapportering skapas förutsättningar för gemensam lägesbild, snabbare informationsdelning och bättre samordning vid större cyberhändelser.
Leverantörskedjan i fokus
En annan central del av lagen är kraven på leverantörshantering. Organisationer måste nu ta ansvar för cybersäkerhetsrisker även utanför den egna IT-miljön.
Det innebär bland annat att:
- kritiska leverantörer behöver identifieras och riskklassas
- säkerhetskrav måste tydliggöras i avtal
- uppföljning och kontroll blir en löpande fråga
- incidenter hos leverantörer måste kunna hanteras
För många verksamheter är detta ett mer omfattande arbete än väntat, och ett område där mognaden ofta är låg.
Risk att fastna i compliance
Samtidigt som lagen nu träder i kraft finns det en risk att fastna i ett alltför snävt compliance-perspektiv.
Grundtanken med NIS2 och den svenska cybersäkerhetslagen är inte att organisationer ska bocka av krav i en lista, utan att den faktiska motståndskraften ska öka. Kraven är i sig inte kontroversiella, utmaningen ligger i att omsätta dem i praktiken.
Organisationer befinner sig dessutom på väldigt olika mognadsnivåer. Lagen kräver inte perfektion från dag ett, men den kräver riktning, tempo och ett systematiskt förbättringsarbete.
Vad borde organisationer göra nu?
När lagen nu är i kraft finns några tydliga prioriteringar:
- Identifiera om verksamheten omfattas – direkt eller indirekt
- Genomför en gapanalys mot lagens krav
- Tydliggör ansvar och beslutsvägar, särskilt i ledning och styrelse
- Säkerställ förmåga till incidenthantering och rapportering
- Kartlägg kritiska leverantörer och beroenden
- Se arbetet som långsiktigt och kontinuerligt – inte som ett engångsprojekt
Ett verktyg, inte ett mål
Den nya cybersäkerhetslagen är inte ett mål i sig, utan ett verktyg för att höja den gemensamma motståndskraften i ett allt mer digitalt och sammankopplat samhälle.
Om lagen används som struktur för att ta steg i rätt riktning – och om samverkan mellan organisationer, sektorer och regioner ökar kan NIS2 bli startpunkten för ett starkare och mer robust cybersäkerhetsarbete i Sverige.
Expertens bild: därför handlar NIS2 om mer än lagkrav
Vår affärsområdesansvariga för cybersäkerhet, Pernilla Rönn, intervjuas om den nya cybersäkerhetslagen och vad NIS2 innebär i praktiken i Techtidningen. I intervjun delar hon sin syn på varför Sverige varit sent ute, vilka utmaningar organisationer står inför, och varför fokus bör ligga på faktisk förmåga snarare än formell efterlevnad.
Läs hela artikeln här
Behöver ni komma i mål med NIS2?
Vill ni ha hjälp att tolka kraven, genomföra en gapanalys eller omsätta lagen i praktiskt cybersäkerhetsarbete – hör av er till oss.
