NIS2-checklista för medelstora företag
Den här checklistan sammanfattar de konkreta steg medelstora företag bör gå igenom för att uppnå och dokumentera NIS2-efterlevnad. Använd den som diskussionsunderlag i ledningen eller som första gap-analys mot direktivet.
Steg 1: Bekräfta omfattning
Innan tekniska åtgärder spelar någon roll måste ni veta om — och hur — ni omfattas.
- Identifiera om er sektor finns i Annex I eller Annex II
- Kontrollera storlekströsklarna (50+ anställda eller 10 MEUR omsättning)
- Kartlägg kunder som är NIS2-omfattade (leverantörskedjeansvar)
- Anmäl er till MSB om ni är direkt omfattade
Steg 2: Gap-analys mot artikel 21
Gå igenom de tio punkterna i artikel 21 och dokumentera nuläget.
- Riskanalys — finns den dokumenterad och uppdaterad senaste året?
- Incidenthantering — finns en runbook och utpekade ansvariga?
- Backup — testas återställning regelbundet och dokumenteras?
- Leverantörsbedömning — finns processen och dokumentationen?
- MFA — aktiverat på samtliga konton, även privilegierade?
- Kryptering — i vila (diskkryptering) och transit (TLS)?
- Loggning — finns central insamling och tillräcklig retention?
- Utbildning — finns plan och dokumenterad genomförandegrad?
Steg 3: Inför saknade åtgärder
Prioritera efter risk — börja med MFA, diskkryptering och central loggning eftersom de täcker flera punkter samtidigt. Bygg incidentprocessen tidigt så att rapporteringskravet hålls från dag ett. Leverantörsbedömningen brukar ta längre tid och kan inledas parallellt.
Steg 4: Dokumentera och visa
NIS2 prövas på dokumentation lika mycket som på teknik. Säkerställ att riskanalys, policyer, incidentrapporter, leverantörsbedömningar och utbildningsregister finns tillgängliga och uppdaterade.
Frågor och svar
Hur lång tid tar full NIS2-implementation?
För en SMB-miljö utan tidigare strukturerat säkerhetsarbete tar det typiskt 4–9 månader att nå dokumenterad efterlevnad. Med en opererad partner kan tiden ofta halveras.
Kan vi köra projektet internt?
Ja, men de flesta SMB saknar både kompetensbredd och kapacitet att driva det internt. En opererad partner som ProjAlpha levererar både tekniken och processerna.
Vad kostar det?
Mycket beror på utgångsläget. För ett företag med 100 användare är 200–600 kSEK i implementation och 30–80 kSEK/månad i löpande kostnad ett vanligt spann.