Cybersäkerhet och NIS2

Cybersäkerhet handlar om att skydda nätverk, system och data från cyberhot. Målet är att avvärja attacker, oavsett om dessa attacker kommer inifrån eller utifrån organisationen, men också att skydda verksamheten mot andra risker som till exempel förluster av data på grund av en krasch i ett IT-system. För en nation är skyddet särskilt viktigt att hantera i samhällsviktiga verksamheter och det är här som NIS2 kommer in.

Vad är NIS2?

NIS2 står för “Network and Information Security Directive, version 2” och är ett EU direktiv som syftar till att stärka cyberförsvaret för samhällsviktig verksamhet, så kallade väsentliga och viktiga enheter, i samtliga Europas medlemensländer. För de svenska organisationer som berörs kommer direktivet att börja gälla i oktober 2024.

Vilka berörs av NIS2?

NIS2 omfattar väsentliga enheter för samhället såsom energi, transport, banker, hälso- och sjukvård, dricksvatten, avlopp, digital infrastruktur och offentlig förvaltning. Utöver detta pekas också post, avfallshantering, kemiska anläggningar, finansmarknadens infrastruktur, livsmedelsproduktion och annan viktig produktion och digitala tjänsteleverantörer ut som viktiga enheter. Även leverantörsleden till dessa verksamheter omfattas av direktivet, så det är många som kommer blir berörda av NIS2 på ett eller annat sätt.

Hur påverkar NIS2 berörda verksamheter?

NIS2 innebär en mer detaljerad reglering i form av skärpta krav för cybersäkerhet och riskhantering som måste implementeras. Detta omfattar bland annat följande:

• Policy för riskanalys och säkerhet för informationssystem

• Incidenthantering (förebyggande åtgärder, samt upptäckt och hantering av incidenter)

• Affärs- och driftskontinuitet, samt krishantering

• Säkerhet för försörjningskedjor

• Säkerhet i samband med anskaffning, utveckling och underhåll av nätverks- och informationssystem

• Policyer och rutiner för bedömning av valda säkerhetsåtgärders effektivitet

• Användning av kryptografi och kryptering

• Utbildning av personal och ledning

• Rapporteringsrutiner

Berörda verksamheter ska välja lämpliga och proportionerliga säkerhetsåtgärder. Man behöver således väga in riskrelaterade faktorer såsom generell riskexponering för cybersäkerheten och med det sannolikheten för att incidenter inträffar. Dock, om en verklig risk har identifierats och ska åtgärdas, så förväntas att ”State of the art” teknologi och lösningar används.

2023-11-06
Fredrik Martinsson, CTO Areff - A part of Seriline Group