Den stora skillnaden mot NIS1 är räckvidden. Där den gamla lagstiftningen träffade ett fåtal utpekade samhällsviktiga aktörer omfattar NIS2 hela sektorer, och storlek avgör snarare än en myndighets lista: driver ni verksamhet i en av de utpekade sektorerna och är medelstora eller större, omfattas ni i regel automatiskt. Många företag upptäcker det först när en kund skickar över ett leverantörsformulär.
Siffrorna i direktivet
- 24 h
- till en första underrättelse om en incident
- 72 h
- till en fullständig incidentanmälan
- 2 %
- av global omsättning – taket för sanktionsavgift för väsentliga entiteter
Vad som förväntas av en omfattad verksamhet
- En riskanalys och en informationssäkerhetspolicy som är beslutad, inte utkastad.
- Rutiner för incidenthantering, med de tidsgränser direktivet sätter inbyggda i dem.
- Kontinuitetsplanering: säkerhetskopior, återställning och krishantering.
- Säkerhet i leverantörskedjan – era leverantörers brister är era brister.
- Rutiner för att mäta om åtgärderna faktiskt fungerar, inte bara att de finns.
- Utbildning i cybersäkerhet för personalen, och särskilt för ledningen.
Ledningen ska godkänna, följa upp – och gå utbildningen
NIS2 lägger ansvaret för att godkänna riskhanteringsåtgärderna och övervaka att de genomförs på ledningsorganet, och kräver uttryckligen att dess ledamöter genomgår utbildning. Det är en ovanlig konstruktion: lagstiftaren har sett att åtgärder som beslutas av någon som inte förstår dem tenderar att bli symboliska, och har skrivit in motmedlet i texten.
Tidslinjen när något har hänt
- 1
Inom 24 timmar
En första underrättelse till tillsynsmyndigheten om att en betydande incident har inträffat. Den ska säga att något hänt och om det misstänks vara avsiktligt – inte förklara vad.
- 2
Inom 72 timmar
En incidentanmälan med en första bedömning: hur allvarlig incidenten är, vilken påverkan den haft och vilka indikatorer ni har.
- 3
Inom en månad
En slutrapport med en detaljerad beskrivning, orsaken, vidtagna åtgärder och eventuella gränsöverskridande effekter.
- 4
Under tiden
Berörda mottagare av era tjänster ska informeras om incidenten sannolikt påverkar dem. Den delen glöms bort oftast, eftersom den inte har en klocka på sig.
Den vanligaste feluppfattningen
Att NIS2 är ett IT-projekt. Merparten av kraven handlar om styrning: vem som beslutar, vad som är dokumenterat, hur ofta det följs upp och vad som står i leverantörsavtalen. En IT-avdelning kan bygga tekniken men kan inte fatta besluten, och det är besluten tillsynen efterfrågar.
Vanliga frågor om NIS2
- Hur vet vi om vi omfattas?
- Utgå från sektor och storlek. Bedriver ni verksamhet i en av de sektorer direktivet räknar upp – energi, transport, vatten, hälsa, digital infrastruktur, tillverkning av vissa produkter, avfall, post och flera andra – och når upp till storlekströskeln, omfattas ni i regel. Det finns undantag åt båda hållen, vilket är själva anledningen att kontrollera i stället för att anta.
- Vad är skillnaden mellan väsentliga och viktiga entiteter?
- Kraven är i stort desamma; tillsynen och sanktionsnivåerna skiljer sig. Väsentliga entiteter står under löpande tillsyn och har ett högre tak för sanktionsavgifter. Viktiga entiteter granskas i huvudsak när något inträffat.
- Vi anlitar en driftleverantör. Övergår ansvaret på dem?
- Nej. Ni kan lägga ut arbetet men inte ansvaret. Direktivet ställer tvärtom uttryckliga krav på hur ni hanterar säkerheten i leverantörskedjan, vilket innebär att ni ska ställa krav på leverantören och följa upp dem.
- Vem hos oss bör gå utbildningen?
- Ledningsgruppen, eftersom direktivet kräver det av dem. Därutöver de som ska skriva eller tillämpa rutinerna: säkerhetsansvarig, IT, den som äger leverantörsavtalen och den som svarar i telefon när något inträffar mitt i natten.
Ska ledningen och nyckelpersonerna gå samtidigt?
Köp licenser till hela gruppen och fördela dem när kalendern tillåter. En påbörjad licens är låst till sin deltagare, en outdelad är det inte.
Se utbildningarna
