NIS2 - så följer du EU-direktivet
Vi reder ut EU-direktivet NIS2 och rekommenderar åtgärder du bör ta.
Kontakta ossVad är NIS2?
NIS2 är en uppdatering av EU:s cybersäkerhetsdirektiv (NIS) med fokus på att skydda mot cyberhot. Det innebär strängare krav och tydligare riktlinjer för att:
- Förbättra organisationers cyberförsvar: Att bygga robusta system och rutiner som effektivt kan stå emot cyberattacker.
- Främja informationsdelning: Underlätta samarbete och informationsutbyte mellan myndigheter, företag, organisationer och experter.
- Gemensamma krav och riktlinjer för cybersäkerhet.
5 åtgärder för att följa NIS2
- Incidentrapportering: Företag måste rapportera kritiska cybersäkerhetsincidenter inom 24 timmar till tillsynsmyndigheten, och lämna en sammanfattning och hantering till berörda myndigheter inom 72 timmar.
- Riskhantering: Organisationer måste genomföra regelbundna riskbedömningar och vidta lämpliga åtgärder för att hantera cybersäkerhetsrisker.
- Informationssäkerhet & utbildning: Krav på att ha tekniska och strategiska åtgärder för att skydda sina system och data. Ledningen måste utbildas inom området och kan bli personligt ansvariga för incidenter. Vi rekommenderar att ha kontinuerlig utbildning för hela personalstyrkan, eftersom cyberkriminella ofta riktar in sig mot alla anställda i organisationen och ständigt hittar nya vägar.
- Incidentrespons: Företag ska ha en plan för att hantera incidenter och kunna återställa sin verksamhet.
- Leverantörsansvar: Man måste som företag vidta åtgärder för att hantera cybersäkerhetsrisker i sin leverantörskedja.
Sharp hjälper er med IT-säkerheten och ser till att ni har ”best practice” i linje med NIS2. Kontakta oss för mer information.
Frågor & svar om NIS2
Här hittar du svar på vanliga frågor om NIS2-direktivet.
Enligt svensk lag ska NIS2 vara implementerat senast den 18 oktober 2024, till dess måste berörda företag ha anpassat sina verksamheter.
Precis som med GDPR kan man enligt lag ålägga verksamheter böter för att inte följa direktivet. Ett företag eller organisation kan bli skyldigt upp till 10 miljoner euro eller 2 % av företagets årliga globala omsättning.
NIS2 omfattar framför allt samhällskritiska verksamheter men påverkar även indirekt företag som är underleverantörer. De grundläggande riktlinjerna för NIS2 är relevanta för alla organisationer, oavsett storlek eller bransch. Vi rekommenderar därför att alla företag följer direktivet även om de inte omfattas direkt.
Sektorer som omfattas av NIS2:
• Energi: Elektricitet, fjärrvärme och fjärrkyla, olja, gas och vätgas.
• Transport: Luft-, järnvägs-, vatten- och vägtrafik.
• Bankverksamhet och finansmarknadsinfrastruktur: Banker, börser och andra finansiella institutioner.
• Hälsa: Sjukhus, vårdcentraler och tillverkare av läkemedel och vacciner.
• Dricksvatten och avloppsvatten: Leverantörer av vatten- och avloppstjänster.
• Digital infrastruktur: Internetutbytespunkter, DNS-leverantörer, toppdomänregister, molntjänstleverantörer, datacenterleverantörer, innehållsleveransnätverk och betrodda tjänstetillhandahållare.
• Telekommunikation: Leverantörer av allmänna elektroniska kommunikationsnät och tjänster.
• IKT-tjänster: Hanterade tjänsteleverantörer och leverantörer av förvaltade säkerhetstjänster.
• Offentlig förvaltning: Statliga myndigheter och institutioner.
• Rymden: Organisationer som bedriver rymdverksamhet.
• Post- och budtjänster: Postoperatörer och budfirmor.
• Avfallshantering: Företag som hanterar och transporterar avfall.
• Kemikalier: Tillverkare och distributörer av kemikalier.
• Livsmedel: Tillverkare och distributörer av livsmedel.
• Medicintekniska produkter: Tillverkare av medicintekniska produkter.
• Tillverkningsindustri: Tillverkare av datorer, elektronik, maskiner, fordon och annan transportutrustning.
• Digitala plattformar: Onlinemarknadsplatser, sökmotorer och plattformar för sociala nätverkstjänster.
• Forskning: Forskningsorganisationer som bedriver forskning inom områden som kan ha en betydande inverkan på samhället eller ekonomin
Det är viktigt att notera att detta inte är en uttömmande lista. Ytterligare sektorer kan omfattas av NIS2-direktivet beroende på deras specifika verksamhet och den potentiella risken för cybersäkerhetsincidenter.