NIS2-direktivet: Vad du behöver veta för din verksamhets säkerhet

Det europeiska NIS-direktivet ställer krav på informationssäkerheten i IT-system som hanterar samhällskritiska funktioner. Från och med den 18 oktober 2024 träder det nya uppdaterade direktivet, NIS2-direktivet, i kraft i Sverige med målet att förbättra säkerheten för dessa tjänster.

Vad är nytt med NIS2?

En av de största skillnaderna mellan NIS (2018) och NIS2 (2024) är utvidgningen av vilka verksamheter som omfattas av direktivet. NIS2 kommer att inkludera betydligt fler områden och anläggningar än sin föregångare. Dessutom innebär det nya direktivet strängare regler och ökad tillsyn, med möjliga höga böter för försummelse.

 

De nya kraven och reglerna omfattar:

• Strängare krav på leverantörer och säkerhet i leveranskedjan
• Utökade krav för riskbedömningar
• Förbättrade säkerhetsåtgärder för cybersäkerhet
• Nya krav på incidentrapportering

Verksamheter (entiteter) klassificeras enligt NIS2 som antingen "Väsentliga" eller "Viktiga", och ett brett spektrum av sektorer omfattas, allt från energi och transport till bankverksamhet och digital infrastruktur.

Sanktioner

För väsentliga entiteter kan böterna uppgå till högst 10 miljoner euro eller 2% av den totala globala årsomsättningen. För viktiga entiteter är motsvarande böter upp till 7 miljoner euro eller 1,4% av den totala globala årsomsättningen.

Nationell kontaktpunkt

Enligt direktivet ska medlemsländerna upprätta planer, utse ansvariga organ och inrätta nätverket EU-Cyber Crises Liaison Organization Network (EU-CyCLONe) för samordnad incidenthantering. Dessutom förstärker direktivet samarbetsgruppen för nät- och informationssäkerhet och kräver nationella cybersäkerhetsstrategier.

I Sverige har MSB rollen som CSIRT (Computer Security Incident Responds Team), och Enisa (European Union Agency for Cyber Security) kommer att spela en större roll inom NIS2-direktivet, bland annat genom övervakning och analys av medlemsländernas riktlinjer för cyberhygien. Mer info om NIS2 direktivet finns här, på Europeiska kommissionens hemsida.

Det är inte alltid tydligt vad verksamheter måste och borde ta action på, där finns vi på XLENT som stöd och kan hjälpa till. Hör gärna av dig till oss om du vill veta mer.