Hur vi löser utmaningarna och säkerställer att er organisation är compliant med NIS2
Det första NIS-direktivet trädde i kraft i Sverige under 2018 genom lag (2018:1174) respektive förordning (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster.
Syftet med NIS-direktivet är att höja informations- och cybersäkerheten i unionen genom att reglera en basnivå av säkerhet för samhällsviktiga- och vissa digitala tjänster.
Krav på att åtgärda risker
Den svenska NIS-regleringen kräver bland annat att de berörda organisationerna genomför åtgärder för att hantera risker som hotar säkerheten i nätverk och informationssystem samt att man minimerar påverkan av incidenter i dessa. Om en incident ändå inträffar, måste de rapportera den till Myndigheten för samhällsskydd och beredskap (MSB). Målet med de krav som ställs är att undvika störningar på verksamheter som är viktiga för samhället.
NIS2 och förberedelser inför 2025
I december 2022 beslutade EU att uppdatera det tidigare NIS-direktivet och ersätta det med NIS2-direktivet. Medlemsländerna fick fram till oktober 2024 på sig att implementera direktivet i sin nationella lagstiftning. I Sverige förväntas den nya lagen träda i kraft tidigast sommaren 2025. Till skillnad från NIS ställer NIS2 strängare krav på säkerhet och rapportering, ökat ansvar för företagsledningar och tydligare regler för att säkra leveranskedjor.
Direktivet omfattar dessutom fler sektorer än tidigare, inklusive livsmedelsproduktion och offentlig förvaltning men även leverantörer till organisationer som omfattas av NIS2. Organisationer som inte uppfyller kraven riskerar kännbara sanktionsavgifter. Därför är det avgörande att verksamheter börjar förbereda sig i tid för att säkerställa att de lever upp till NIS2-kraven.
Några av kraven som behöver uppfyllas är:
- Strategier för riskanalys
- Incidenthanteringsplan
- Planer för verksamhetskontinuitet
- Säkerhet vid anskaffning, utveckling och förvaltning
- Policy och rutiner för att bedöma säkerhetsåtgärder
- Utbildning i informationssäkerhet
- Åtkomstpolicy och hantering av tillgångar
- Multifaktorautentisering
- Kryptering och kryptografi
- Säkerhet i leveranskedjan
ISO 27001 bra grund för NIS2
För att uppfylla kraven i det första NIS-direktivet menar MSB i sina föreskrifter (MSBFS 2018:8) att varje leverantör ska bedriva ett systematiskt och riskbaserat informationssäkerhetsarbete med stöd av standarderna ISO 27001 och ISO 27002 eller motsvarande. Standarden säkerställer att arbetet kan bedrivas resurseffektivt och att organisationen kan integrera arbetet med informationssäkerhet i den interna styrningen och kontrollen. Då NIS2 är en uppdatering av det första NIS-direktivet är det sannolikt att ett arbetssätt enligt ISO 27001 kommer att vara en bra grund för att efterleva kraven även i NIS2.
Secify har bred erfarenhet av att hjälpa organisationer att implementera ISO 27001, vilket ger en solid grund för att efterleva kraven i både NIS och NIS2. Genom samarbete med berörda organisationer och rådgivare med bakgrund från ansvariga myndigheter har våra rådgivare fått omfattande erfarenhet av att arbeta med ledningssystem för informationssäkerhet och djupgående kunskaper om NIS2-direktivet. Vi övervakar både det aktuella NIS-direktivet och utvecklingen av NIS2, och har aktivt bidragit med webbinarier och artiklar om ämnet.
Kontakta oss om du vill veta mer om hur vi kan hjälpa dig med NIS2
Den 18 oktober 2024 börjar det uppdaterade NIS2-direktivet att gälla. Den här artikeln handlar om vad NIS2 direktivet är, vilka företag som omfattas av det och hur du som företagare behöver ha på plats för att vara förenlig med direktivet.
I slutet av 2022 antogs två nya EU-direktiv, direktivet CER-direktivet och NIS2-direktivet. Många har hört talas om NIS2-direktivet men vad är CER-direktivet, och hur hänger de ihop?
Tiden till att NIS2 ska börja tillämpas närmar sig. De som omfattas kommer att behöva införa ett antal säkerhetsåtgärder. Men vilka är det då som omfattas sedan det första NIS-direktivet?
