NIS2-direktivet: sammanfattning för svenska företag

Vad är NIS2-direktivet?

NIS2 (EU 2022/2555) är efterföljaren till det första NIS-direktivet från 2016. Det är en EU-omfattande lag som ställer minimikrav på cybersäkerhet för verksamheter som är samhällsviktiga eller särskilt viktiga. Direktivet ska implementeras i svensk rätt via cybersäkerhetslagen och tillhörande föreskrifter från MSB.

Det viktigaste i NIS2 är att lagen flyttar fokus från enbart tekniska skyddsåtgärder till ett strukturerat säkerhetsarbete: riskhantering, leverantörskontroll, incidentrapportering och dokumenterat ledningsansvar.

Vilka företag omfattas av NIS2?

NIS2 omfattar långt fler verksamheter än det första direktivet. Lagen pekar ut ett 20-tal sektorer i två kategorier: väsentliga (essential) och viktiga (important). Storlekströskeln är generellt 50 anställda eller 10 MEUR i omsättning — det innebär att även medelstora företag omfattas direkt.

• Väsentliga sektorer: energi, transport, bank, hälso- och sjukvård, digital infrastruktur, offentlig förvaltning
• Viktiga sektorer: post- och budtjänster, avfallshantering, livsmedel, tillverkning av kritisk utrustning, digitala leverantörer, forskning
• Indirekt omfattade: leverantörer och underleverantörer till de ovan, via krav på leverantörskedjan

Krav i sammanfattning

NIS2 artikel 21 listar tio områden som varje omfattat företag måste hantera. Det handlar om riskbedömning, hantering av incidenter, kontinuitet, leverantörskedja, kryptering, åtkomstkontroll, multifaktorautentisering, säkerhetsövervakning, utbildning och rapportering.

Rapporteringskraven i artikel 23 är skarpa: en tidig varning till MSB inom 24 timmar efter upptäckt incident, formell incidentrapport inom 72 timmar, och slutrapport inom en månad. Det kräver kontinuerlig logghantering och en SOC- eller MDR-funktion som arbetar dygnet runt.

Ledningsansvar och böter

En central skillnad mot tidigare lagstiftning är att NIS2 personligen ansvarar styrelse och ledning för cybersäkerhetsarbetet. Ledningen ska godkänna riskhanteringsåtgärder, följa upp efterlevnad och själva ha grundläggande cyberutbildning.

Sanktionerna är allvarliga: för väsentliga verksamheter upp till 10 MEUR eller 2 % av global omsättning, för viktiga upp till 7 MEUR eller 1,4 %. Tillsynsmyndigheten kan även tillfälligt förbjuda ledning från att utöva ledningsfunktioner.

Vad ni bör göra först

Det första steget är en gap-analys: hur står ni mot artikel 21 idag? Kartlägg tillgångar, bedöm risker, dokumentera nuvarande skydd och identifiera luckor mot kraven. Därefter prioriteras åtgärder i en handlingsplan med tidsatta milstolpar.

Många medelstora företag väljer att utkontraktera de operativa delarna — opererad IT med integrerad MDR, logghantering och incidentrespons — till en partner som ProjAlpha. Det säkerställer att tekniska kontroller och dokumentation är på plats utan att bygga internt SOC-team.