Tekniska krav i NIS2

Artikel 21 i praktiken

Direktivet listar tio områden som ska täckas av era säkerhetsåtgärder. De är medvetet teknikneutrala — direktivet kräver att ni har riskbaserad efterlevnad, inte en specifik produkt.

• a) Policyer för risk- och informationssäkerhet
• b) Incidenthantering
• c) Affärskontinuitet, backup och krishantering
• d) Säkerhet i leverantörskedjan
• e) Säkerhet vid utveckling, anskaffning och underhåll
• f) Bedömning av åtgärdernas effektivitet
• g) Grundläggande cyberhygien och utbildning
• h) Kryptografi och kryptering
• i) Personal- och åtkomstkontroll, asset management
• j) Multifaktorautentisering, säker kommunikation, säker incident-/röst-/video

Vad varje punkt innebär tekniskt

De flesta punkterna kräver konkreta tekniska kontroller: SIEM och central loggning för incidentdetektion (b), MFA på alla användarkonton och privilegierad åtkomst (j), diskkryptering och TLS överallt (h), patch management och konfigurationsstyrning (e), testad backup med dokumenterad återställning (c), MDM och endpoint security (i), samt phishing-tester och utbildning (g).

Punkten om leverantörskedja (d) kräver att ni har en dokumenterad process för att bedöma era kritiska leverantörer — inte bara avtalsmässigt utan löpande.

Incidentrapportering

Utöver artikel 21 reglerar artikel 23 incidentrapporteringen. Ni måste lämna tidig varning till NCSC genom CERT-SE via cyberportalen inom 24 timmar efter att ni blivit medvetna om en betydande incident, en incidentrapport inom 72 timmar och en slutrapport inom en månad. Mellanrapporter krävs vid förändringar.