När NIS2-direktivet diskuteras hamnar fokus ofta på teknik: säkerhetssystem, IT-infrastruktur, incidenthantering. Det är inte fel, men det är sällan där den verkliga utmaningen ligger.
I Sverige implementeras direktivet genom Cybersäkerhetslagen, och för många organisationer innebär det något mer grundläggande: att man behöver ha kontroll på hur arbetet faktiskt utförs varje dag.
Den här guiden går igenom vad NIS2 är, vilka som omfattas, vad kraven och sanktionerna innebär och, viktigast av allt, vad reglerna kräver av den dagliga driften. I slutet hittar du en praktisk checklista och svar på de vanligaste frågorna.
Vad är NIS2?
NIS2 är EU:s uppdaterade direktiv om cybersäkerhet (direktiv (EU) 2022/2555). Det ersätter det ursprungliga NIS-direktivet från 2016 och höjer ribban på tre sätt: betydligt fler sektorer omfattas, minimikraven blir tydligare och strängare, och ansvaret läggs uttryckligen på företagets ledning i stället för på IT-avdelningen.
Direktivet trädde i kraft på EU-nivå i januari 2023, och medlemsstaterna skulle införliva det i nationell rätt senast i oktober 2024. I Sverige sker det genom Cybersäkerhetslagen.
Vilka omfattas av NIS2?
NIS2 delar in organisationer i väsentliga entiteter och viktiga entiteter i 18 sektorer. Till de högkritiska sektorerna hör energi, transport, bank och finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, förvaltning av IKT-tjänster, offentlig förvaltning och rymden. Övriga sektorer inkluderar bland annat post, avfallshantering, kemikalier, livsmedelsproduktion och distribution, tillverkning (inklusive medicinteknik, elektronik, maskiner och fordon), digitala leverantörer och forskning.
Som huvudregel gäller direktivet organisationer i dessa sektorer med minst 50 anställda eller en årsomsättning på minst 10 miljoner euro. Mindre organisationer kan ändå omfattas när deras tjänster är kritiska, till exempel ensamleverantörer av en samhällsviktig tjänst.
Två saker överraskar många företag:
- Leverantörskedjan omfattas. Även om ditt företag inte omfattas direkt kan era kunder göra det, och NIS2 kräver att de ställer säkerhetskrav på sina leverantörer. Kraven vandrar nedåt i kedjan.
- Ledningen är personligt ansvarig. Ledningsorganen ska godkänna riskåtgärderna, övervaka genomförandet och genomgå utbildning. Ansvaret kan inte delegeras till IT.
NIS2 och den svenska Cybersäkerhetslagen
NIS2 är EU-direktivet; Cybersäkerhetslagen är Sveriges sätt att införa det i nationell rätt. Kraven kommer från direktivet, medan tillsyn, registrering och de praktiska detaljerna styrs av svensk lag och svenska myndigheter, med MSB (Myndigheten för samhällsskydd och beredskap) i en central roll tillsammans med sektorsvisa tillsynsmyndigheter.
Den svenska lagstiftningsprocessen har skjutits fram under arbetets gång, så kontrollera aktuell status, tillämpningsdatum och registreringskrav hos MSB. Det praktiska rådet påverkas inte av datumen: kraven är så omfattande att förberedelserna tar månader, inte veckor, så rätt tidpunkt att börja är innan skyldigheterna gäller.
Vad NIS2 egentligen förändrar
NIS2 är i grunden ett försök att höja lägstanivån. Fler branscher omfattas, kraven blir tydligare och ansvaret flyttas närmare verksamheten.
Det som ofta missas är att kraven inte bara handlar om att ha rätt saker på plats, utan om att de ska fungera i praktiken.
Det räcker inte längre att:
- ha en policy
- ha dokumenterade rutiner
- ha utbildningsmaterial
Det som efterfrågas är något annat: att kunna visa att det används.
Kraven i korthet
Direktivet kräver att omfattade organisationer vidtar riskhanteringsåtgärder inom tio områden, bland annat:
- riskanalys och policyer för informationssäkerhet
- incidenthantering
- kontinuitet, säkerhetskopiering och krishantering
- säkerhet i leverantörskedjan
- säkerhet vid anskaffning, utveckling och underhåll av system
- policyer och rutiner för att bedöma om åtgärderna faktiskt fungerar
- grundläggande cyberhygien och utbildning i cybersäkerhet
- policyer för kryptografi och kryptering
- personalsäkerhet, åtkomstkontroll och hantering av tillgångar
- multifaktorautentisering där det är lämpligt
Utöver det kommer rapporteringskrav vid incidenter med snäva tidsfrister: en tidig varning till myndigheten inom 24 timmar från att en betydande incident upptäckts, en mer fullständig anmälan inom 72 timmar och en slutrapport inom en månad.
Lägg märke till hur få av punkterna som är rent tekniska. Utbildning, rutiner, uppföljning, leverantörsstyrning och förmågan att bedöma om åtgärderna fungerar är operativa frågor, och det är precis där bevis på dagligt genomförande krävs.
Vad blir sanktionerna?
Sanktionerna är utformade för att nå ledningens uppmärksamhet. Väsentliga entiteter kan få sanktionsavgifter på upp till minst 10 miljoner euro eller 2 procent av den globala årsomsättningen, beroende på vilket som är högst. Viktiga entiteter riskerar upp till minst 7 miljoner euro eller 1,4 procent. Dessutom kan ledningsorgan hållas personligt ansvariga, och tillsynsmyndigheter kan utfärda bindande förelägganden och i allvarliga fall tillfälligt stänga av chefer i väsentliga entiteter från sina uppdrag.
Var det börjar bli svårt
De flesta organisationer har redan någon form av struktur. Det finns dokument, instruktioner, checklistor. Problemet är att de lätt lever sitt eget liv:
- Rutiner finns, men följs olika beroende på person
- Uppgifter görs, men utan tydlig uppföljning
- Kunskap finns, men når inte hela organisationen
Det uppstår ett glapp mellan hur arbetet är tänkt att fungera och hur det faktiskt ser ut i vardagen. Det är just det glappet NIS2 gör synligt.
Det handlar mindre om IT än man tror
Det är lätt att tolka NIS2 som ett tekniskt initiativ. Men i många verksamheter ligger risken inte i systemen, utan i utförandet, i hur rutiner tolkas, hur uppgifter prioriteras och hur ansvar fördelas. Det är där variation uppstår. Och det är där konsekvensen märks.
Från dokument till verklighet
För att möta kraven räcker det inte att förbättra dokumentationen. Det som behöver förändras är kopplingen mellan instruktion och handling.
Det innebär i praktiken att:
- Det ska vara tydligt vad som ska göras
- Det ska vara tydligt vem som gör det
- Det ska gå att följa upp om det faktiskt gjorts
Det låter enkelt. Men det är ofta här det faller.
Där många organisationer fastnar
Det är vanligt att tänka att lösningen är mer information: fler dokument, fler riktlinjer, fler utbildningar. Men utan struktur i genomförandet blir det bara mer att hålla reda på.
Det som saknas är inte innehåll, utan sammanhang.
En praktisk NIS2-checklista för den dagliga driften
En fungerande startpunkt, i den ordning de flesta organisationer bör ta den:
- Bekräfta om ni omfattas. Stäm av er sektor och storlek mot Cybersäkerhetslagen, och fråga era viktigaste kunder om deras NIS2-skyldigheter ställer krav på er som leverantör.
- Utse ansvarig. Namnge en ansvarig person och sätt NIS2 på ledningens agenda; ansvaret ligger där oavsett.
- Kartlägg kritiska processer, system och leverantörer. Det ni inte har identifierat kan ni varken skydda eller rapportera om.
- Genomför riskbedömningar med fast intervall, och dokumentera dem, inte som ett engångsprojekt utan som en återkommande rutin.
- Gör policyer till dagliga rutiner. Bryt ner säkerhetsåtgärderna i schemalagda checklistor och återkommande uppgifter som namngivna personer utför.
- Sätt upp incidentkedjan. Alla ska veta vad som räknas som en incident, vem som larmas och hur tidsfristerna på 24 och 72 timmar klaras i praktiken.
- Utbilda alla, och följ upp genomförandet. Utbildning i cyberhygien är ett uttryckligt krav, och utbildning som inte spåras går inte att bevisa.
- Ställ krav på leverantörer och följ upp dem, eftersom säkerhet i leverantörskedjan är en del av er egen efterlevnad.
- Logga genomförandet. Vem som gjorde vad, och när. Det bevisspåret är skillnaden mellan att hävda efterlevnad och att kunna visa den.
- Granska och förbättra enligt schema, och rapportera status till ledningen regelbundet.
Om er organisation redan arbetar systematiskt med ett egenkontrollprogram kommer arbetssättet att kännas igen: NIS2-efterlevnad är i hög grad samma disciplin med rutiner, bevis och uppföljning, tillämpad på cybersäkerhet.
Hur Todolo passar in i det här
Todolo är inte byggt för att ersätta säkerhetssystem. Det är byggt för att skapa struktur i hur arbetet utförs. Det gör att:
- rutiner inte bara finns, utan används
- uppgifter inte bara planeras, utan följs upp
- arbetet inte bara sker, utan går att visa i efterhand
När instruktioner, uppgifter och uppföljning hänger ihop minskar beroendet av individen. Det blir tydligare vad som ska göras, och lättare att se vad som faktiskt händer.
Nedan är ett förenklat exempel på hur typiska kravområden kan kopplas till arbetssätt i Todolo, inte som juridisk rådgivning, utan som illustration av spårbarhet i vardagen.
| Krav i NIS2 | Så kan Todolo stödja ert compliance-arbete |
|---|---|
| Riskhanteringsåtgärder | Digitala checklistor och återkommande uppgifter för regelbundna säkerhetskontroller. |
| Utbildning av personal | Utbildningsmodul med micro-learning, quiz och spårbar genomförd examination. |
| Incidenthantering | Snabbvägar för rapportering, tydliga instruktioner vid kris och uppföljning i samma flöde. |
| Dokumentationskrav | Loggning av utförda aktiviteter (vem som gjort vad och när) kopplat till rutiner och dokument. |
Det som förändras i praktiken
När arbetet blir mer strukturerat händer något ganska konkret:
- variation minskar
- onboarding blir enklare
- uppföljning kräver mindre manuell insats
Och kanske viktigast av allt: det blir möjligt att svara på frågor som annars är svåra:
- Gjorde vi det vi skulle?
- När gjordes det?
- Av vem?
NIS2 i praktiken
Det är lätt att se NIS2 som ett compliance-projekt. Men i praktiken handlar det lika mycket om att få verksamheten att fungera bättre. Kraven tvingar fram tydlighet, konsekvens och uppföljning. För organisationer som tar det på allvar blir det inte bara en fråga om att uppfylla krav, utan om att arbeta mer kontrollerat i vardagen.
Vanliga frågor
Vad är NIS2?
NIS2 är EU:s uppdaterade direktiv om cybersäkerhet (direktiv 2022/2555). Det ersätter det ursprungliga NIS-direktivet från 2016, omfattar betydligt fler sektorer, ställer tydligare minimikrav på riskhantering och incidentrapportering och gör företagets ledning uttryckligen ansvarig för efterlevnaden.
Vilka omfattas av NIS2?
Väsentliga och viktiga entiteter i 18 sektorer, bland annat energi, transport, hälso- och sjukvård, livsmedel, tillverkning, digital infrastruktur och offentlig förvaltning. Som huvudregel omfattas organisationer med minst 50 anställda eller 10 miljoner euro i årsomsättning, samt vissa mindre organisationer vars tjänster är kritiska. Leverantörer till omfattade organisationer berörs också indirekt genom kraven på leverantörskedjan.
Vad är skillnaden mellan NIS2 och Cybersäkerhetslagen?
NIS2 är EU-direktivet; Cybersäkerhetslagen är Sveriges sätt att införa det i nationell rätt. Kraven kommer från direktivet, medan tillsyn, registrering och praktiska detaljer följer av svensk lag och myndigheter som MSB.
Vad blir straffet om man inte följer NIS2?
Sanktionsavgifter på upp till minst 10 miljoner euro eller 2 procent av den globala årsomsättningen för väsentliga entiteter, och upp till minst 7 miljoner euro eller 1,4 procent för viktiga entiteter. Ledningen kan dessutom hållas personligt ansvarig.
När måste företag följa kraven?
EU:s deadline för nationellt införande var oktober 2024, och de svenska skyldigheterna följer Cybersäkerhetslagen. Tidplanen har flyttats under lagstiftningsprocessen, så kontrollera aktuella datum hos MSB. I praktiken tar förberedelserna månader, så det säkra svaret är: börja nu.
Hur börjar man förbereda sig för NIS2?
Bekräfta om ni omfattas, utse ansvarig på ledningsnivå, kartlägg kritiska processer och leverantörer, sätt upp incidentrapporteringsvägar som klarar tidsfristerna på 24 och 72 timmar, utbilda personalen med spårat genomförande och gör det dagliga utförandet spårbart så att efterlevnaden kan visas, inte bara hävdas.
En sista reflektion
Många organisationer kommer att fokusera på rätt saker: system, säkerhet, teknik. Men det som ofta avgör utfallet är något enklare: hur arbetet faktiskt utförs, dag efter dag. Det är där skillnaden syns, och det är där den största risken, och möjligheten, finns.
Vill du få en bättre bild av hur arbetet faktiskt utförs i din organisation, och var det finns variation idag? Då är det ofta där det är mest värdefullt att börja.
Kontakta oss om du vill prata mer om hur ni kan skapa tydligare struktur i det dagliga arbetet.
