NIS2-direktivet: Vad du behöver veta för din verksamhets säkerhet

Det europeiska NIS-direktivet ställer krav på informationssäkerheten i IT-system som hanterar samhällskritiska funktioner. Från och med den 18 oktober 2024 träder det nya uppdaterade direktivet, NIS2-direktivet, i kraft i Sverige med målet att förbättra säkerheten för dessa tjänster.

Vad är nytt med NIS2?

Övergången från NIS (2018) till NIS2 (2024) innebär en utvidgning av antalet berörda branscher och verksamheter. Det nya direktivet ställer höga krav, med strängare regler och ökad tillsyn. För att undvika sanktionsavgifter som följer vid bristande efterlevnad måste organisationer bygga upp en fungerande informationssäkerhet i sina system och nätverk.

De nya kraven och reglerna omfattar:

Strängare krav på leverantörer och säkerhet i leveranskedjan
Utökade krav för riskbedömningar
Förbättrade säkerhetsåtgärder för cybersäkerhet
Nya krav på incidentrapportering

Verksamheter (entiteter) klassificeras enligt NIS2 som antingen "Väsentliga" eller "Viktiga", och ett brett spektrum av sektorer omfattas, allt från energi och transport till bankverksamhet och digital infrastruktur.

Sanktioner

För väsentliga entiteter kan böterna uppgå till högst 10 miljoner euro eller 2% av den totala globala årsomsättningen. För viktiga entiteter är motsvarande böter upp till 7 miljoner euro eller 1,4% av den totala globala årsomsättningen.

Nationell kontaktpunkt

Enligt direktivet ska medlemsländerna upprätta planer, utse ansvariga organ och inrätta nätverket EU-Cyber Crises Liaison Organization Network (EU-CyCLONe) för samordnad incidenthantering. Dessutom förstärker direktivet samarbetsgruppen för nät- och informationssäkerhet och kräver nationella cybersäkerhetsstrategier.

I Sverige har MSB rollen som CSIRT (Computer Security Incident Responds Team), och Enisa (European Union Agency for Cyber Security) kommer att spela en större roll inom NIS2-direktivet, bland annat genom övervakning och analys av medlemsländernas riktlinjer för cyberhygien. Mer info om NIS2 direktivet finns här, på Europeiska kommissionens hemsida.

Det är inte alltid tydligt vad verksamheter måste och borde ta action på, där finns vi på XLENT som stöd och kan hjälpa till. Hör gärna av dig till oss om du vill veta mer.