NIS2-direktivet (Network and Information Security) är en viktig uppsättning regler inom Europeiska unionen. Det syftar till att skydda nätverks- och informationssystem i alla medlemsländer. Direktivet skapar en gemensam strategi för att förbättra cybersäkerheten och motståndskraften mot digitala hot. I stället för att bara föreslå riktlinjer säkerställer det att alla medlemsländer har starka säkerhetsåtgärder på plats.

Låt oss nu titta närmare på NIS2-direktivet, dess tillsyn i EU:s medlemsländer och vad som står under tillsyn. Vi tittar också på NIS2:s påföljder för bristande efterlevnad och hur du kan följa direktivet (för att undvika påföljder).

Vad är NIS2?

NIS2-direktivet är en uppdaterad EU-lag om cybersäkerhet som ersätter det ursprungliga NIS-direktivet. NIS2 syftar till att förbättra den övergripande nivån av cybersäkerhet i hela EU genom att fastställa striktare riskhanterings- och rapporteringsskyldigheter för ett bredare spektrum av offentliga och privata enheter.

NIS2 utgör en viktig utveckling i EU:s ansträngningar för att stärka motståndskraften mot cybersäkerhet. Detta direktiv bygger vidare på sin föregångare och ger ett förfinat fokus som omfattar ett bredare spektrum av sektorer samtidigt som det fastställer tydligare och mer robusta regleringsförväntningar. NIS2 understryker den ökade brådskan med att skydda Europas kritiska infrastruktur från nya cyberhot och säkerställer att organisationer är bättre rustade för att förebygga, upptäcka och hantera incidenter.

NIS2 påverkar ett stort antal privata och offentliga enheter i hela EU som tillhandahåller väsentliga eller viktiga tjänster. Det innebär en betydande utvidgning av tillämpningsområdet jämfört med det ursprungliga NIS-direktivet. De flesta organisationer med mer än 250 anställda eller en omsättning på mer än 50 miljoner euro i de berörda sektorerna kommer att omfattas av NIS2. Mindre organisationer kan dock också omfattas om de är högriskorganisationer eller kritiska för samhället.

För mer information om NIS2, läs vår blogg: Vem gäller NIS2 för? Omfattning och nödvändiga säkerhetsåtgärder förklaras.

Tillsyn enligt NIS2

Enligt NIS2-direktivet ska varje land utse en behörig myndighet som ska övervaka och säkerställa efterlevnaden av direktivets bestämmelser. Denna myndighet spelar en avgörande roll för att både övervaka och stödja organisationer när de navigerar genom de komplexa cybersäkerhetsreglerna. Deras uppgifter sträcker sig från att genomföra revisioner och riskbedömningar till att ge vägledning om bästa praxis.

Vem sköter NIS2-övervakningen?

På europeisk nivå sköts övervakningen och samordningen av NIS2-direktivet i första hand av

1. Europeiska unionens byrå för cybersäkerhet (Enisa): Enisa fungerar som den centrala EU-byrån som stöder genomförandet av NIS2.
2. Samarbetsgrupp mellan EU:s medlemsländer: Ett strategiskt organ som består av representanter från alla EU:s medlemsstater, Europeiska kommissionen och ENISA.
3. CSIRTs-nätverk: Ett nätverk av nationella Computer Security Incident Response Teams. Arbetar för att samordna incidenthantering över gränserna

Varje EU-land utser också sin egen nationella behöriga myndighet (NCA) för att övervaka och genomdriva NIS2 lokalt, men dessa enheter samarbetar på EU-nivå genom ovanstående strukturer.

Hur övervakningen fungerar:

NIS2-direktivet syftar till att stärka EU:s kollektiva motståndskraft mot cybersäkerhet genom en balanserad kombination av proaktiva och reaktiva tillsynsåtgärder. Till skillnad från sin föregångare lägger NIS2 större vikt vid att både förebygga incidenter innan de inträffar och att reagera effektivt när de inträffar.

Proaktiva metoder för tillsyn:

NIS2-övervakningen omfattar proaktiv övervakning, revisioner, granskning av incidentrapportering och verkställighetsåtgärder. Målet är att se till att organisationer följer kraven på riskhantering och incidentrapportering inom cybersäkerhet.

• Regelbundna revisioner och utvärderingar av organisationens cybersäkerhetsrutiner
• Övervakning av efterlevnad genom realtidsspårning av cybersäkerhetsincidenter
• Samarbete med organisationer för att ge vägledning och feedback om förbättringar av cybersäkerheten
• Genomföra workshops och utbildningstillfällen för att öka medvetenheten om och förståelsen för NIS2-kraven
• Upprätta rapporteringsprotokoll för att säkerställa att incidentrapporter lämnas in i tid
• Analysera incidentmönster för att identifiera potentiella sårbarheter och rekommendera proaktiva åtgärder

Det proaktiva tillvägagångssättet syftar till att förebygga incidenter och minska sårbarheter innan de utnyttjas.

Reaktivt sätt att utöva tillsyn

Reaktiv övervakning fokuserar på incidentrapportering, utredning och verkställighetsåtgärder när intrång inträffar. Dessa kan vara:

• Analys efter incidenten för att förstå orsakerna och förhindra upprepning.
• Påförande av påföljder och sanktioner efter att bristande efterlevnad har identifierats.
• Genomföra revisioner och utvärderingar efter säkerhetsöverträdelser eller cyberincidenter.
• Genomföra tillfälliga förbud mot chefsansvar vid bristande efterlevnad.
• Granskning och revidering av säkerhetsprotokoll som svar på regelöverträdelser.
• Krav på incidentrapporter och handlingsplaner efter incidenter för tillsynsmyndigheter.

Det reaktiva arbetssättet säkerställer att incidenter som inträffar hanteras effektivt, dokumenteras noggrant och leder till förbättringar.

Dessutom måste organisationen kunna visa sin nationella tillsynsmyndighet att den uppfyller kraven på begäran - eller under revisioner, inspektioner eller efter en incident. Det handlar inte bara om att hävda att man uppfyller kraven, utan om att bevisa det med bevis. Tillsammans bildar dessa två metoder ett robust ramverk som är utformat för att minska riskerna, förbättra förmågan att hantera incidenter och driva på ständiga förbättringar.

Påföljder för bristande efterlevnad i NIS2

NIS 2 ger 10 miljoner anledningar att bli kompatibel.  

Tillsynsmyndigheterna har en rad verkställighetsåtgärder som de kan tillämpa på organisationer som inte uppfyller kraven. Dessa sanktioner är utformade för att säkerställa meningsfull ansvarighet och efterlevnad av cybersäkerhetsstandarder. Låt oss nu titta närmare på dessa former av sanktionsåtgärder.

Olika typer av påföljder:

Bindande order

Dessa åtgärder kan omfatta förelägganden om att verksamheten ska uppfylla kraven, vilket kan innebära att särskilda säkerhetsåtgärder ska vidtas eller att verksamheten ska genomgå regelbundna revisioner. Sådana korrigerande åtgärder är avsedda att rätta till brister och förhindra framtida överträdelser. Dessa kan vara:

• Uppgraderingar av säkerheten: Se till att rätt tekniska och organisatoriska åtgärder finns på plats, t.ex. bättre åtkomstkontroll, kryptering och system för att upptäcka hot.
• Revidering av policyer: Krav på uppdateringar eller förbättringar av policyer och protokoll för cybersäkerhet.
• Förbättrad rapportering: Säkerställa att systemen för upptäckt och rapportering av incidenter fungerar bra och snabbt.
• Tredjepartshantering: Åtgärda problem i hur organisationer hanterar risker i leveranskedjan.

Bindande förelägganden är direkta order från tillsynsmyndigheter som kräver specifika åtgärder för att komma till rätta med bristande efterlevnad. Att ignorera dessa förelägganden kan leda till högre böter eller till och med hårdare påföljder, som restriktioner eller förbud mot affärsverksamhet.

Administrativa böter

Administrativa böter är den vanligaste typen av sanktionsåtgärder till följd av bristande efterlevnad.

• Felaktiga säkerhetsåtgärder: Att inte vidta rätt tekniska och organisatoriska åtgärder för att skydda cybersäkerheten.
• Missade larm om incidenter: Missar att rapportera större incidenter snabbt, vanligtvis inom 24 timmar, följt av en detaljerad rapport inom 72 timmar.
• Bristfälliga riskkontroller: Att inte regelbundet bedöma och dokumentera cybersäkerhetsrisker.
• Brister i tillsynen av leverantörskedjan: Att inte säkerställa att leverantörer uppfyller cybersäkerhetsstandarder.

Böter för bristande efterlevnad kan vara betydande, upp till 10 miljoner euro eller 2% av den globala årsomsättningen, beroende på vilket som är högst.

Tillfälliga förbud för ansvarig personal

Ja, NIS2 kan bli personligt. Till skillnad från tidigare direktiv erkänner NIS2 vikten av individuellt ansvarstagande genom att tillåta myndigheter att införa tillfälliga förbud för chefer eller annan ansvarig personal. Myndigheter kan införa tillfälliga förbud för specifika individer att utföra lednings- eller operativa roller inom sin organisation. Men dessa förbud kommer inte att komma lättvindigt, eftersom förbuden skulle kräva en relativt hög grad av försumlighet:

• Grov vårdslöshet eller bristande ledning: När högsta ledningens agerande (eller passivitet) direkt leder till säkerhetsöverträdelser eller bristande efterlevnad.
• Underlåtenhet att genomföra korrigerande åtgärder: När ledare ignorerar kända risker eller inte följer order om att åtgärda dem.
• Otillräcklig övervakning av incidenthantering: När ledningen inte ser till att incidenter rapporteras på rätt sätt och att åtgärder vidtas för att återställa situationen.

Hur du håller dig till reglerna (och undviker påföljder)

Nu när vi har gått igenom hur NIS2-övervakningen fungerar och vilka påföljder du kan få om du inte följer reglerna, skulle det vara trevligt att få tips om hur dessa påföljder kan undvikas. Här är några viktiga tips som hjälper dig att uppnå efterlevnad och upprätthålla den på längre sikt.

Riskbedömningar och gapanalyser

För att följa NIS2-reglerna måste du börja med att göra en fullständig riskbedömning för att hitta eventuella hot och svagheter i cybersäkerheten. Det innebär att du kontrollerar din nuvarande säkerhet och tar reda på vad du behöver förbättra för att uppfylla NIS2-standarderna. Gap-analys kan ge insikter om vilka åtgärder du vidtar nu och vad som behöver göras för att uppfylla kraven.

Cyberday erbjuder ett kostnadsfritt utvärderingsverktyg på 15 minuter för att bedöma din NIS2-beredskap. Om du är ny på Cyberday kan du bedöma din NIS2-överensstämmelse och du kan starta en förlängd testperiod och använda resultaten av utvärderingen i produkten. Om du har ett Cyberday kan du bedöma efterlevnaden i produkten.

Medvetenhet hos personalen

Att investera i utbildning och medvetenhetsprogram för anställda är avgörande för efterlevnad. Organisationer bör utbilda sin personal om bästa praxis för cybersäkerhet och de specifika kraven i NIS2. Regelbundna utbildningstillfällen kan hjälpa medarbetarna att känna igen och reagera på potentiella säkerhetsincidenter på ett effektivt sätt.

Ett sätt att distribuera riktlinjer för informationssäkerhet till medarbetarna är genom ISMS som Cyberday, där riktlinjer kan skapas med fallbeskrivningar och färdighetstester och distribueras till medarbetarnas personliga Guidebook, till och med direkt i MS Teams.

Håll dig uppdaterad om dokument och revisioner

Dokumentation hjälper dig att visa att du uppfyller lagstadgade standarder. Genom att noggrant dokumentera dina processer, rutiner och efterlevnadssteg skapar du ett tydligt register som du kan visa upp vid revisioner eller inspektioner. Det är viktigt att hålla dokumentationen uppdaterad så att den stämmer överens med gällande regler och organisationens verksamhet. Dokumentationen kan också på begäran bevisa att du uppfyller kraven.

Regelbundna granskningar, t.ex. interna eller externa revisioner, hjälper dig att hålla dig förberedd för att uppfylla kraven och minskar risken för påföljder vid bristande efterlevnad. Du bör genomföra interna revisioner för att se hur din cybersäkerhet står sig och upptäcka områden som inte håller måttet. Att ta in externa experter för en extern revision kan ge dig extra självförtroende.

Med NIS2-direktivet som bearbetas i ett flexibelt ISMS som Cyberday kan du få efterlevnadsdokumentation med ett klick på en knapp, enkelt och med aktuell information. Interna och externa revisioner underlättas också med ett ISMS, eftersom all information finns tillgänglig på ett ställe.

Implementera bästa praxis (t.ex. ISO 27001)

Att utveckla en robust cybersäkerhetsstrategi är viktigt. Denna strategi bör innehålla tydliga policyer och procedurer för incidentdetektering, respons och återställning. Organisationer bör säkerställa att dessa policyer är i linje med NIS2-kraven och uppdateras regelbundet för att hantera nya hot.

Men det svåra är att lagstiftningar som NIS2 inte erbjuder direkta implementeringsåtgärder. Därför rekommenderas frivilliga standarder som ISO 27001, som tillhandahåller åtgärder för att uppnå efterlevnad och går hand i hand med NIS2-kraven, för att uppnå efterlevnad. ISO 27001 kan också ge bättre dokumentationsalternativ för bevisbar efterlevnad, och med ISO 27001-certifiering kommer du också att kunna bevisa din anpassning till NIS2-kraven. Vi har också skapat en guide för detta - och du kan ladda ner NIS2 ready with ISO 27001 best practices ebook gratis.  

Avslutande tankar

NIS2 är inte bara en riktlinje - det är lag. Proaktiv efterlevnad är billigare (och enklare) än att drabbas av påföljder. Men om vi har lyckats skrämma dig med påföljderna, låt mig bara säga så här: NIS2-direktivet är utformat för att vara strikt men rättvist och ger organisationer möjlighet att åtgärda problem innan straffåtgärder vidtas.

‍