NIS-direktivet är EU:s första gemensamma regelverk för att höja cybersäkerhetsnivån i medlemsstaterna, antaget 2016 som startpunkt för ett mer samordnat europeiskt arbete.
NIS2, formellt direktiv (EU) 2022/2555, ersätter den tidigare ordningen med bredare omfattning, tydligare krav på styrning och mer detaljerade regler för incidentrapportering. För svenska organisationer är den praktiska frågan därför inte bara vad som ändrats i EU-rätten, utan om verksamheten omfattas, vilken kategori den hamnar i och hur rapportering, leverantörsstyrning och ledningsansvar ska fungera i vardagen.
Varför NIS behövde ersättas
Det ursprungliga NIS-direktivet, direktiv (EU) 2016/1148, var ett viktigt första steg. Det krävde nationella strategier, behöriga myndigheter och säkerhetsåtgärder för operatörer av samhällsviktiga tjänster och vissa digitala tjänsteleverantörer. Modellen gav medlemsstaterna stort utrymme att själva avgöra vilka aktörer som skulle omfattas och hur tillsynen skulle organiseras.
Den flexibiliteten gjorde direktivet möjligt att införa i många olika nationella system, men den skapade också skillnader mellan länder och sektorer. Två organisationer med liknande riskprofil kunde få olika skyldigheter beroende på var de var etablerade eller hur de klassificerades nationellt. Samtidigt blev beroendet av molntjänster, digital infrastruktur, driftleverantörer och sammanlänkade leveranskedjor mer tydligt än när NIS togs fram.
NIS2 svarar på den utvecklingen genom att göra omfattningen mer regelstyrd, dela in aktörer i väsentliga och viktiga enheter samt lägga större vikt vid ledningens ansvar. Den som vill läsa en bredare introduktion till kraven kan börja med Readynez genomgång av NIS2 Lead Implementer-utbildning, men själva efterlevnadsarbetet behöver alltid bygga på direktivtexten, nationella regler och den egna riskbilden.
Den största skillnaden: vilka som omfattas
NIS byggde på en snävare modell där medlemsstaterna identifierade operatörer av samhällsviktiga tjänster inom sektorer som energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvattenförsörjning och digital infrastruktur. Digitala tjänsteleverantörer omfattades också, men regelverket var mindre detaljerat och i praktiken mer begränsat.
NIS2 utgår i stället från sektorlistor i bilaga I och II och en storleksbaserad huvudregel. En organisation träffas normalt om den verkar inom en relevant sektor och är medelstor eller större. I direktivet innebär det i praktiken minst 50 anställda eller en årlig omsättning eller balansomslutning på minst 10 miljoner euro för många aktörer, medan klassificeringen som väsentlig enhet typiskt kopplas till större aktörer, särskilt minst 250 anställda eller minst 50 miljoner euro i omsättning eller balansomslutning inom sektorer med hög kritikalitet. Vissa aktörer omfattas oavsett storlek, exempelvis inom domännamnssystem, toppdomäner samt vissa hanterade tjänster och säkerhetstjänster.
Den praktiska effekten är att fler organisationer behöver göra en strukturerad omfattningsanalys. Det räcker inte att fråga om verksamheten är ”kritisk” i allmän mening. En bättre metod är att först identifiera juridiska enheter, därefter mappa varje enhet mot direktivets sektorer och sedan pröva storlekskriterier och särskilda undantag. Koncerner bör vara särskilt noggranna, eftersom en central IT- eller driftfunktion kan stödja flera verksamheter med olika sektortillhörighet.
Väsentliga och viktiga enheter i praktiken
NIS2 delar in omfattade aktörer i väsentliga och viktiga enheter. Skillnaden handlar inte om att viktiga enheter kan behandla kraven som frivilliga. Båda kategorierna behöver arbeta med riskhantering, incidentrapportering, leveranskedjesäkerhet och styrning. Skillnaden ligger framför allt i tillsynens intensitet och hur myndigheter kan ingripa.
Väsentliga enheter kan normalt bli föremål för mer proaktiv tillsyn, till exempel granskningar, begäran om information och säkerhetsrevisioner. Viktiga enheter kan också granskas, men tillsynen är ofta mer reaktiv och kan utlösas av indikationer på bristande efterlevnad eller incidenter. För ledningsgrupper innebär detta att klassificeringen påverkar hur snabbt organisationen behöver kunna visa dokumenterade riskbeslut, kontroller och uppföljning.
Det är också här många felbedömningar uppstår. En organisation kan vara van vid att betrakta cybersäkerhet som en IT-fråga och därför missa att NIS2 gör ansvarsfördelning, rapporteringsvägar, utbildning och leverantörsstyrning till centrala delar av efterlevnaden. En juridisk bedömning av omfattningen behöver därför följas av en operativ analys av vilka tjänster, system, leverantörer och beslutsforum som faktiskt bär riskerna.
Säkerhetskraven har blivit mer konkreta
NIS krävde lämpliga och proportionella tekniska och organisatoriska åtgärder. NIS2 behåller riskbaseringen men anger tydligare områden som organisationer förväntas hantera, bland annat incidenthantering, kontinuitet, krishantering, leveranskedjesäkerhet, säker utveckling och underhåll, sårbarhetshantering, policyer för riskanalys, kryptografi, åtkomstkontroll och multifaktorautentisering där det är lämpligt.
Det viktiga är att NIS2 inte kan reduceras till en lista med säkerhetsprodukter. Kryptering, övervakning och stark autentisering kan vara nödvändiga kontroller, men de behöver vila på en fungerande styrmodell. En organisation som saknar tillgångsinventering, ansvar för kritiska system, beslutad riskaptit och övade incidentrutiner kommer att få svårt att visa att kontrollerna är proportionella och effektiva.
Från ett praktiskt perspektiv ligger ett informationssäkerhetsledningssystem nära det arbetssätt som NIS2 förutsätter. ISO/IEC 27001 kan exempelvis användas för att strukturera riskbedömning, ledningens uppföljning, kontrollval och förbättringsarbete, även om standarden inte automatiskt innebär efterlevnad av NIS2. Det avgörande är att kontrollerna kopplas till de tjänster och beroenden som omfattas av regelverket.
Incidentrapportering: från allmän skyldighet till tydlig tidslinje
Incidentrapporteringen är en av de tydligaste skillnaderna mellan NIS och NIS2. Under NIS fanns skyldighet att rapportera incidenter med betydande påverkan, men tidsramar och praktiska detaljer varierade mer mellan medlemsstater. NIS2 anger en tydligare rapporteringskedja i artikel 23.
En omfattad organisation ska enligt NIS2 normalt lämna en tidig varning utan onödigt dröjsmål och senast inom 24 timmar efter att den fått kännedom om en betydande incident. En mer utförlig incidentanmälan ska därefter lämnas utan onödigt dröjsmål och senast inom 72 timmar. En slutrapport ska lämnas senast en månad efter incidentanmälan, med uppgifter om bland annat allvarlighetsgrad, påverkan, grundorsak om den är känd och vidtagna åtgärder.
Det vanligaste praktiska misstaget är att bara planera för 72-timmarsrapporten. Den tidiga varningen kräver att organisationen snabbt kan avgöra om händelsen kan vara betydande, vem som får fatta beslut om rapportering och vilken information som kan delas innan den tekniska analysen är färdig. Det ställer krav på incidentklassificering, jourrutiner, juridisk samordning och dokumentation från första timmen.
I svensk kontext ska rapporteringen inte ske via en allmän EU-portal som ersätter nationella kanaler. Efter införlivande kommer rapporteringsvägarna att hanteras genom svenska behöriga myndigheter och relevanta sektorsmyndigheter, med MSB som central aktör i den nationella cybersäkerhetsstrukturen. Organisationer bör därför följa MSB:s och ansvariga sektorsmyndigheters anvisningar för var och hur incidenter ska rapporteras när nationella regler och processer gäller.
Ledningsansvar och leveranskedjor får större betydelse
NIS2 gör ledningens roll tydligare än NIS. Ledningsorgan ska godkänna cybersäkerhetsåtgärder, följa upp riskhantering och kunna hållas ansvariga för brister enligt nationell rätt. Direktivet betonar också att ledningen ska ha tillräcklig kunskap för att kunna förstå och bedöma cybersäkerhetsrisker.
Det förändrar hur efterlevnadsarbetet bör organiseras. En årlig teknisk säkerhetsrapport räcker sällan som beslutsunderlag. Styrelse och ledning behöver få en tydlig bild av vilka tjänster som omfattas, vilka risker som accepteras, vilka investeringar som krävs och vilka incidenter eller leverantörsbrister som kan påverka samhällsviktiga funktioner.
Leverantörskraven är en annan central skärpning. NIS2 lyfter fram säkerhet i leveranskedjan, inklusive relationer med direkta leverantörer och tjänsteleverantörer. Det påverkar upphandling, avtal, due diligence och löpande uppföljning. I praktiken behöver organisationer ofta uppdatera krav på incidentavisering, åtkomsthantering, underleverantörer, revisionsrätt, sårbarhetshantering och kontinuitet i kritiska avtal.
Sanktioner och tillsyn: mer harmoniserad ram
NIS2 inför ett tydligare sanktionsramverk än det ursprungliga NIS-direktivet. För väsentliga enheter anger direktivet administrativa sanktionsavgifter upp till 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket belopp som är högst. För viktiga enheter anges upp till 7 miljoner euro eller 1,4 procent av den globala årsomsättningen. Den exakta tillämpningen beror på nationell rätt och behöriga myndigheters beslut.
Sanktioner är dock bara en del av tillsynsbilden. Myndigheter kan också få verktyg som förelägganden, krav på åtgärdsplaner, säkerhetsrevisioner och begäran om information. För en organisation är därför dokumentationsförmågan central. Det ska gå att visa hur risker identifierats, vilka kontroller som valts, varför de är proportionella och hur brister följs upp.
I Sverige blir samspelet mellan MSB, sektorsmyndigheter och andra relevanta tillsynsaktörer viktigt. Eftersom NIS2 berör flera samhällssektorer kan två organisationer med liknande teknikmiljöer ha olika tillsynskontakter beroende på verksamhetens art. Det gör sektoranalysen lika viktig som den tekniska säkerhetsbedömningen.
NIS2 i förhållande till DORA, CER och annan reglering
NIS2 verkar inte i ett vakuum. Finanssektorn påverkas exempelvis även av DORA, medan CER-direktivet rör kritiska entiteters motståndskraft. Dessa regelverk kan överlappa i syfte men har olika fokus, definitioner och tillsynslogik. Organisationer som omfattas av flera regelverk behöver därför samordna kontroller utan att blanda ihop rapporteringskrav och ansvarslinjer.
Ett praktiskt sätt att undvika dubbelarbete är att bygga en gemensam kontroll- och evidensmodell. Samma incidentövning, riskregister eller leverantörsbedömning kan ofta stödja flera regelverk, men rapporteringsbeslut och juridiska trösklar måste ändå hanteras separat. Det är särskilt viktigt i sektorer där både operativ motståndskraft och informationssäkerhet regleras detaljerat.
Så bör en svensk organisation närma sig övergången
Övergången från NIS till NIS2 bör börja med omfattningen, inte med verktygsinköp. Om organisationen inte vet vilka juridiska enheter, tjänster och sektorer som träffas blir det svårt att prioritera kontroller, rapporteringsvägar och ledningsbeslut.
- Identifiera juridiska enheter, samhällsviktiga eller digitala tjänster och relevanta NIS2-sektorer.
- Bedöm storlek, särskilda undantag och om enheten sannolikt är väsentlig eller viktig.
- Kartlägg kritiska system, dataflöden, leverantörer och beroenden som stödjer de omfattade tjänsterna.
- Jämför befintliga kontroller med NIS2:s krav på riskhantering, incidenthantering och leveranskedjesäkerhet.
- Fastställ beslutsvägar för ledning, rapportering till myndigheter och intern eskalering vid incident.
Denna ordning gör arbetet mer styrbart. Den visar också var ansvaret bör ligga: juridik och compliance kan tolka regelverket, IT och säkerhet kan bedöma kontrollerna, inköp kan hantera leverantörskraven och ledningen behöver fatta riskbeslut. Om organisationen behöver bygga en gemensam kompetensbas kan strukturerad utbildning vara ett stöd; Readynez har exempelvis säkerhetsrelaterad utbildning samlad via Unlimited Security Training.
FAQ
Vad är den viktigaste skillnaden mellan NIS och NIS2?
Den viktigaste skillnaden är att NIS2 omfattar fler sektorer och fler typer av organisationer samt ställer tydligare krav på styrning, incidentrapportering, leveranskedjesäkerhet och tillsyn. NIS var mer beroende av nationell identifiering av operatörer, medan NIS2 använder sektorlistor och storlekskriterier i större utsträckning.
Gäller NIS2 alla företag i Sverige?
Nej. NIS2 gäller organisationer som omfattas av direktivets sektorer och storleksregler samt vissa särskilt utpekade aktörer oavsett storlek. Mikro- och småföretag undantas normalt, men det finns viktiga undantag för vissa högriskfunktioner, exempelvis inom DNS, toppdomäner och vissa hanterade tjänster.
Vilka rapporteringstider gäller enligt NIS2?
En tidig varning ska normalt lämnas senast inom 24 timmar efter kännedom om en betydande incident. En incidentanmälan ska lämnas senast inom 72 timmar och en slutrapport senast en månad efter incidentanmälan. Tiderna följer NIS2 artikel 23, men den praktiska svenska rapporteringsprocessen styrs av nationella regler och myndighetsanvisningar.
Vem rapporterar svenska organisationer till?
Rapportering sker genom svenska behöriga myndigheter och relevanta sektorsmyndigheter, med MSB som central aktör i den nationella cybersäkerhetsstrukturen. Organisationer bör inte utgå från att alla rapporter går till samma kontaktpunkt, utan följa de sektorsvisa anvisningar som gäller efter nationellt införlivande.
Är ISO/IEC 27001 tillräckligt för NIS2-efterlevnad?
ISO/IEC 27001 kan ge en stark struktur för riskhantering, ledningens uppföljning, kontroller och förbättringsarbete, men certifiering mot standarden innebär inte automatiskt att alla NIS2-krav är uppfyllda. Organisationen behöver fortfarande bedöma omfattning, rapportering, leverantörskrav och nationella skyldigheter enligt NIS2.
Vad organisationer bör ta med sig
NIS2 är en tydlig skärpning av EU:s cybersäkerhetsregler, men den blir hanterbar när arbetet delas upp i omfattning, styrning, tekniska och organisatoriska kontroller, rapportering och leverantörsled. Den största nyttan kommer när organisationen kopplar regelkraven till faktiska tjänster och beroenden i stället för att behandla efterlevnad som ett separat dokumentationsprojekt.
En praktisk nästa åtgärd är att samla juridik, säkerhet, IT, risk, inköp och verksamhetsledning kring en gemensam omfattningsbedömning. Den som vill diskutera kompetensutveckling eller nästa steg kan kontakta Readynez, medan den bredare kursöversikten finns på the provider svenska webbplats.
