Vilka omfattas av NIS2 ?

NIS2 omfattar verksamheter som bedöms som viktiga för ett fungerande samhälle indelade i 18 olika sektorer. Dessa delas sedan i sin tur in i två kategorier beroende på hur kritiska dom är.
Varje företag och organisation har ansvar för att ta reda på om de omfattas av NIS2-reglerna. Tänk på att man kan påverkas indirekt, till exempel som leverantör till ett företag som omfattas av NIS2. Det är också viktigt att komma ihåg att om man har underleverantörer som är avgörande för den egna verksamheten, måste även de uppfylla NIS2-kraven

1. Högkritiska sektorer:	2. Andra kritiska sektorer:
Energi Transporter Bankverksamhet Finansmarknads-infrastruktur Hälso- och sjukvårdssektorn Dricksvatten Avloppsvatten Digital infrastruktur Förvaltning av IKT-tjänster (mellan företag) Offentlig förvaltning Rymden	Post- och budtjänster Avfallshantering Tillverkning, produktion och distribution av kemikalier Produktion, bearbetning och distribution av livsmedel Tillverkning Digitala leverantörer Forskning
Detaljerad beskrivning på  EUs webbplats	Detaljerad beskrivning på EUs webbplats

 

De som omfattas av NIS2 kallas verksamhetsutövare

Det finns två kategorier av verksamhetsutövare – väsentliga och viktiga. Kraven som ställs på verksamheten är i stort sett desamma, men reglerna för tillsyn och sanktioner skiljer sig åt. Vilka verksamhetsutövare som räknas som väsentliga anges i NIS2-utredningens (SOU 2024:18) lagförslag 2 kap. 1§. Övriga verksamhetsutövare räknas som viktiga. 

Verksamhetsutövarna ska själva ta reda på om de omfattas och i så fall anmäla sig till respektive tillsynsmyndighet. Exakta former för anmälan kommer att meddelas i föreskrifter.

Hur påverkas verksamheten av NIS2?

För att uppfylla kraven i NIS2 behöver verksamheter säkerställa att man arbetar på ett säkert sätt och har kapacitet att arbeta med kontinuerlig förbättring.
De viktigaste områdena där det ställs tydliga krav på hur de ska hanteras är:

1. Riskhantering och säkerhetsåtgärder

• Genomför riskbedömningar och vidta lämpliga säkerhetsåtgärder.
• Säkra upp system och nätverk.
• Fokusera på säkerhet i hela leverantörskedjan.

2. Incidenthantering och rapportering

• Upprätta system för att upptäcka, hantera och rapportera incidenter i tid.
• Skapa en plan för incidenthantering och öva regelbundet.

3. Kontinuitet och krishantering

• Utveckla och testa kontinuitets- och krishanteringsplaner.

4. Styrning och efterlevnad

• Inför tydliga cybersäkerhetsroller och ansvar.
• Uppfyll interna och externa revisionskrav.

5. Utbildning och medvetenhet

• Genomför regelbundna cybersäkerhetsutbildningar för personalen.
• Höj kompetensen för säkerhetsansvariga.

6. Sanktioner och ansvar

• Säkerställ att ledningen förstår sitt ansvar.

Rapportering av säkerhetsincidenter är obligatorisk

NIS2 kräver att man underrättar myndigheterna om betydande incidenter inom 24 timmar. En fördjupad uppdatering och bedömning av incidenten ska göras inom 72 timmar.
För att kunna hantera dessa tidsramar krävs det att man har förberett sig och har fungerande processer och rutiner på plats i händelse av en incident.

Varför är NIS2 viktigt för din organisation?

Vi påminner om att syftet med NIS2 är: ”att kraftigt stärka cybersäkerheten genom att införa striktare säkerhetskrav, en skärpt rapporteringsskyldighet, och en mer rigorös tillsyn och efterlevnad.”

Detta är självklart något bra för alla och bör ses som nödvändigt oavsett krav från EU. Tänk även på att man som underleverantör kan vara tvungen att uppfylla NIS2 för att få behålla en kund som omfattas av direktivet.

Det är också så att i och med direktivets implementering kan organisationer åläggas sanktionsavgifter på upp till 10 000 000 Euro eller 2% av den globala årsomsättningen om reglerna inte följs.