Vad är NIS2? Direktivet för en högre säkerhetsnivå

NIS2-direktivet markerar en avgörande vändpunkt i Europas strävan mot en förbättrad cybersäkerhetsnivå över hela unionen.

I denna artikel utforskar vi vad NIS2 är, de nya kraven det ställer, de sektorer som påverkas, och hur det kompletterar det befintliga NIS-direktivet samt dess synergi med andra relaterade direktiv som CER.

Vad är NIS2?

NIS2-direktivet, formellt beslutat av EU den 14 december 2022, är framtaget för att ersätta och förbättra det ursprungliga NIS-direktivet från 2018.

Syftet med detta uppdaterade direktiv är att höja cybersäkerhetsnivån inom alla medlemsstater genom att införa strängare krav på riskanalyser, säkerhetsåtgärder, och ledningens delaktighet i cybersäkerhetsarbetet.

Direktivet erkänner den accelererande digitaliseringen och det ökade beroendet av IT-infrastruktur inom kritiska sektorer, vilket gör det imperativt att stärka skyddet mot cybersäkerhetshot.

Vikten av riskanalyser

En av de centrala pelarna i NIS2 är kravet på omfattande riskanalyser.

Organisationer inom de omfattade sektorerna måste genomföra regelbundna och grundliga analyser av potentiella cybersäkerhetshot och sårbarheter inom deras operativa miljöer.

Dessa analyser ska ligga till grund för utvecklingen av anpassade säkerhetsstrategier och -åtgärder som effektivt kan minska risken för incidenter.

Förstärkta säkerhetsåtgärder

NIS2 specificerar även att organisationer måste implementera robusta säkerhetsåtgärder som matchar den risknivå som identifierats i riskanalysen.

Dessa åtgärder innefattar tekniska, organisatoriska, och procedurmässiga kontroller som syftar till att förebygga, upptäcka, och effektivt svara på cybersäkerhetshot.

Dessutom betonas vikten av att säkerställa säkerheten i leveranskedjan och att hantera sårbarheter på ett proaktivt sätt.

Påverkan och implementering

Implementeringen av NIS2 kräver betydande anpassningar från de berörda sektorerna och organisationerna.

Det utvidgade omfattningen betyder att fler organisationer nu faller under direktivets krav, vilket innebär att de måste utveckla eller uppdatera sina cybersäkerhetsstrategier, riskhanteringsprocesser, och incidenthanteringsplaner.

För att underlätta övergången har medlemsstaterna fått till den 18 oktober 2024 på sig att införliva direktivet i nationell lagstiftning, vilket ger organisationerna en tidsram för att säkerställa efterlevnad.

Sektorer som omfattas av NIS2

De 18 sektorer som direkt påverkas av NIS2 innefattar bland annat energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård.

Nedan hittar du en komplett lista:

• Energi: Inkluderar elproduktion, distribution och överföring, samt gas och olja.
• Transporter: Omfattar luft-, sjö-, järnvägs- och vägtransport.
• Bankverksamhet: Inkluderar banker och andra finansiella institutioner.
• Finansmarknadsinfrastruktur: Täcker börser, clearinghus och andra betalningssystem.
• Hälso- och sjukvård: Inkluderar sjukhus, laboratorier och andra vårdinrättningar.
• Dricksvatten: Omfattar dricksvattenförsörjning och distribution.
• Avloppsvatten: Inkluderar avloppsrening och hantering.
• Digital infrastruktur: Täcker internetväxelpunkter, domännamnssystem och andra kritiska digitala tjänster.
• Förvaltning av IKT-tjänster: Riktar sig till företag som tillhandahåller IT-infrastruktur och tjänster.
• Offentlig förvaltning: Inkluderar statliga och kommunala myndigheter och tjänster.
• Rymden: Omfattar aktiviteter och tjänster relaterade till rymdteknik och -forskning.
• Post- och budtjänster: Inkluderar leverans och logistiktjänster.
• Avfallshantering: Täcker hantering och återvinning av avfall.
• Tillverkning, produktion och distribution av kemikalier: Omfattar kemikalieindustrin.
• Produktion, bearbetning och distribution av livsmedel: Inkluderar livsmedelsproduktion och -distribution.
• Tillverkning (medicinska produkter): Täcker tillverkare av medicintekniska produkter.
• Digitala leverantörer: Inkluderar online-marknadsplatser, sökmotorer och sociala medieplattformar.
• Forskning: Omfattar forskningsinstitutioner och laboratorier.

Förberedelser inför NIS2

För företag och organisationer inom de sektorer som omfattas av NIS2-direktivet innebär den kommande tidsfristen en period av intensiv förberedelse och anpassning.

Med tanke på den korta tiden som återstår, här är några steg de behöver ta för att följa de nya reglerna:

1. Riskanalys och säkerhetsåtgärder

Företag bör omedelbart börja med att utföra en omfattande riskanalys för att identifiera potentiella sårbarheter inom deras system och processer.

Baseras på denna analys, är nästa steg att implementera starka säkerhetsåtgärder som skyddar mot dessa risker.

Det kan innebära att uppdatera befintlig säkerhetsprogramvara, införa nya tekniker eller stärka de interna processerna för att hantera och förebygga cyberattacker.

2. Incidenthantering och rapportering

Ett annat kritiskt område är att utveckla eller förbättra system för incidenthantering. Detta inkluderar att ha en plan på plats för hur man snabbt identifierar, reagerar på och återhämtar sig från säkerhetsincidenter.

Dessutom måste företag förbereda sig för de nya rapporteringskraven genom att säkerställa att de har de rätta verktygen och processerna för att rapportera säkerhetsincidenter inom de tidsramar som direktivet kräver.

3. Engagemang från ledningen

NIS2 betonar starkt ledningens ansvar och delaktighet i cybersäkerhetsarbetet. Företag behöver därför säkerställa att deras ledning är väl informerad om cybersäkerhetsriskerna och deltar aktivt i att styra och övervaka säkerhetsarbetet.

Detta kan innebära regelbunden utbildning för ledningsgruppen och att säkerställa att cybersäkerhet är en integrerad del av företagets övergripande strategi.

4. Leveranskedjesäkerhet

Med tanke på den ökande vikten av leveranskedjesäkerhet, måste företag även utvärdera och stärka säkerheten hos sina leverantörer och samarbetspartners.

Detta kan innebära att revidera befintliga kontrakt, införa striktare säkerhetskrav, och regelbundet kontrollera att leverantörerna uppfyller dessa krav.