Regelverket för cybersäkerhet i EU blir allt strängare. Med flera nya och uppdaterade ramverk som lanseras förväntas organisationerna nu uppfylla strängare och mer omfattande krav än någonsin tidigare.

Samtidigt är det många företag som måste följa mer än ett ramverk. Ett företag kanske hanterar personuppgifter(GDPR), levererar digitala tjänster(NIS2), bedriver finansiell verksamhet(DORA) och använder uppkopplade produkter (CRA) - allt på en och samma gång. Detta skapar komplexitet, särskilt när ramverken överlappar varandra inom områden som riskhantering, incidenthantering eller styrning.

Denna artikel fokuserar på de mest relevanta ramverken för cybersäkerhet som regleras av EU just nu, nämligen NIS2, DORA, GDPR och CRA, samt ISO 27001 som ett frivilligt riktmärke.

Vi går igenom vem som omfattas av varje ramverk, vad det kräver, hur de är kopplade till varandra och hur organisationer kan hantera dem effektivt med hjälp av Cyberday.

Om du undrar vad du ska prioritera, vad som krävs enligt lag och var olika ramverk stöder varandra - då är den här artikeln något för dig.

De viktigaste ramverken och förordningarna som EU-baserade organisationer bör beakta

Nedan följer en snabb jämförelse av de viktigaste ramverken för cybersäkerhet i EU, med fokus på deras fokusområden, om de är obligatoriska och vad de vanligtvis kräver av organisationer.

‍

NIS2 (direktiv 2 om nät- och informationssäkerhet)

NIS2-direktivet är EU:s viktigaste cybersäkerhetsförordning för kritiska och viktiga sektorer. Det ursprungliga NIS-direktivets tillämpningsområde utvidgas avsevärt genom strängare krav och bredare täckning i olika branscher.

Vem gäller NIS2 för?

NIS2 påverkar både väsentliga och viktiga enheter inom sektorer som energi, transport, hälsa, ICT-tjänster, digital infrastruktur, avfallshantering och offentlig förvaltning.

I allmänhet gäller det organisationer med 50+ anställda eller över 10 miljoner euro i årlig omsättning, men även mindre organisationer kan omfattas om de tillhandahåller viktiga tjänster till samhället eller ekonomin.

Läs här den fullständiga uppdelningen av vem NIS2 gäller för.

Vad kräver NIS2?

Organisationer måste implementera en uppsättning metoder för riskhantering och styrning för att stärka sin motståndskraft mot cyberhot. Viktiga krav inkluderar:

• Riskhanteringsåtgärder som omfattar policyer, rutiner och tekniska kontroller
• Incidentrapportering inom 24 timmar efter att ha fått kännedom om en betydande händelse
• Regelbundna säkerhetsrevisioner och sårbarhetsutvärderingar
• Riskhanteringsmetoder för leveranskedjan
• Tydlig ansvarsfördelning: högsta ledningen är ansvarig för beslut om cybersäkerhet

Varför är NIS2 viktigt?

NIS2 är obligatoriskt i hela EU och innebär högre förväntningar - och påföljder - än tidigare. Bristande efterlevnad kan leda till betydande böter och till och med personligt ansvar för företagsledningen. Direktivet syftar till att harmonisera cybersäkerhetsberedskapen i hela EU och stärka samarbetet mellan nationella myndigheter.

Hur överlappar NIS2 med andra ramverk?

Många av NIS2:s krav ligger nära ISO 27001, särskilt inom områden som riskhantering, styrning och incidenthantering. Om din organisation redan arbetar med ISO 27001 är mycket av grundarbetet redan på plats, eftersom dessa två överlappar varandra ganska mycket. Med fullständig efterlevnad av ISO 27001 har du ungefär 80 % efterlevnad av NIS2.

Det finns också starka kopplingar till DORA för enheter inom finanssektorn och GDPR när det gäller personuppgiftsincidenter.

Vilka regelverk liknar NIS2 utanför EU?

Jämförbara ramverk är NIST Cybersecurity Framework i USA och Storbritanniens NIS Regulations, som fortsätter efter Brexit med ett liknande tillvägagångssätt.

Vad är tidslinjen för efterlevnad av NIS2?

Direktivet trädde i kraft i januari 2023 och EU:s medlemsländer måste implementera det nationellt senast den 17 oktober 2024. Berörda organisationer förväntas följa direktivet omedelbart efter att de nationella lagarna har trätt i kraft.

Finns det stöd för NIS2 i Cyberday?

Ja, det stämmer. Cyberday ISMS innehåller fullt stöd för NIS2 - inklusive uppgifter, dokumentationsmallar och revisionsberedskap. En stor del av våra kundorganisationer verkar i NIS2-industrier eller som nyckelleverantörer till organisationer i NIS2-scope. Av denna anledning använder över 70% av Cyberday kunder NIS2-ramverket.

GDPR (allmän dataskyddsförordning)

Den allmänna dataskyddsförordningen (GDPR) är EU:s flaggskeppsförordning för datasekretess och datasäkerhet. Den sätter standarden för hur organisationer måste hantera personuppgifter, oavsett om de är baserade i EU eller bara behandlar uppgifter från EU-invånare.

Vem gäller GDPR för?

GDPR gäller för alla organisationer - oavsettstorlek eller sektor - som samlar in eller behandlar personuppgifter om individer i EU. Detta inkluderar företag som är baserade utanför EU om de riktar sig till eller spårar EU-användare (t.ex. via webbplatser, appar eller tjänster).

Vad kräver GDPR?

GDPR fastställer specifika principer och rättigheter kring behandling av personuppgifter. Viktiga krav inkluderar:

• Laglig grund för behandling av personuppgifter
• Den registrerades rättigheter (tillgång, rättelse, radering etc.)
• Dataskydd genom design och som standard
• Utnämning av ett dataskyddsombud (DPO) i vissa fall
• Obligatoriska anmälningar av dataintrång inom 72 timmar
• Upprätthålla en förteckning över behandlingsaktiviteter (ROPA)

Varför är GDPR viktigt?

GDPR är obligatorisk i hela EU och har blivit det globala riktmärket för integritetsreglering. Påföljderna kan uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket belopp som är högst. Utöver efterlevnad bygger GDPR förtroende hos kunder och affärspartners genom transparenta datapraxis.

Hur överlappar GDPR med andra ramverk?

GDPR överlappar med NIS2 när personuppgifter är inblandade i en säkerhetsincident. Den överensstämmer också med ISO 27001 när det gäller kontroller av åtkomsthantering, riskbedömning och incidenthantering. Organisationer som använder DORA, CRA eller andra ramverk kommer också att stöta på gemensamma principer kring säkerhetsstyrning och rapportering av överträdelser.

Vilka bestämmelser liknar GDPR utanför EU?

Flera länder har infört GDPR-inspirerade lagar:

• CCPA/CPRA (Kalifornien, USA)
• LGPD (Brasilien)
• PIPEDA (Kanada)

Dessa delar begrepp som registrerades rättigheter och öppenhet, men är ofta mindre strikta.

Vad är tidslinjen för efterlevnad av GDPR?

GDPR trädde i kraft den 25 maj 2018. Efterlevnad pågår och förväntas från det ögonblick då en organisation börjar behandla personuppgifter från EU.

Finns det stöd för GDPR i Cyberday?

Ja, det gör vi. Cyberday ISMS erbjuder fullständig GDPR-täckning med färdiga uppgifter, dokumentationsverktyg och riskkartläggning. GDPR används av över 75 % av organisationerna i Cyberday, vilket gör det till det näst vanligaste ramverket. Det gäller alla, och många använder det tillsammans med andra ramverk - vilket förklarar dess breda användning, även om det sällan är det primära.

DORA (lagen om digital operativ motståndskraft)

DORA är EU:s cybersäkerhetsförordning som särskilt riktar sig till finanssektorn. Den fokuserar på att säkerställa att finansinstitut kan motstå och återhämta sig från driftstörningar, särskilt sådana som orsakas av IKT-risker (informations- och kommunikationsteknik).

Vem gäller DORA för?

DORA gäller för nästan alla typer av finansiella enheter som är verksamma i EU, inklusive

• Banker och kreditinstitut
• Försäkrings- och återförsäkringsföretag
• Värdepappersföretag och kapitalförvaltare
• Leverantörer av kryptotjänster
• Betalningsinstitut och tillhandahållare av elektroniska pengar
• Kritiska tredjepartsleverantörer av ICT-tjänster (inklusive molnleverantörer)

Om din organisation är en del av det finansiella ekosystemet i någon form, är DORA sannolikt tillämpligt.

Vad kräver DORA?

DORA fastställer tydliga regler för hantering av IKT-risker. Dess viktigaste krav inkluderar:

• Ett robust ramverk för riskhantering inom ICT
• Klassificering och rapportering av större ICT-relaterade incidenter
• Löpande tester av digital operativ motståndskraft
• Riskhantering för tredje part för leverantörer av ICT-tjänster
• Tydliga roller och ansvarsområden på ledningsnivå

Varför är DORA viktigt?

DORA är obligatoriskt för finansiella enheter inom tillämpningsområdet och höjer ribban för operativ motståndskraft avsevärt. Det ligger i linje med EU:s mål att stärka det finansiella systemets förmåga att förebygga och reagera på cyberstörningar. Efterlevnad kommer att vara avgörande för att behålla licenser och undvika regulatoriska påföljder.

Hur överlappar DORA med andra ramverk?

DORA överlappar med NIS2 för kritisk ICT-infrastruktur och incidenthantering, och delar riskhanteringsgrunder med ISO 27001. Om din organisation redan implementerar ISO eller NIS2 finns det en stark bas att bygga vidare på. Det är också kopplat till GDPR när personuppgifter påverkas under en incident.

Vilka bestämmelser liknar DORA utanför EU?

Den mest jämförbara regleringen är amerikanska SEC:s cybersäkerhetsregel för finansinstitut. DORA liknar också NYDFS Cybersecurity Regulation i New York och andra framväxande regler för operativ motståndskraft i Asien och Storbritannien.

Vad är tidslinjen för efterlevnad av DORA?

DORA trädde i kraft i januari 2023. Alla finansiella enheter måste vara helt kompatibla senast den 17 januari 2025. Implementeringsarbetet bör redan ha påbörjats.

Får DORA stöd under Cyberday?

Ja, det stämmer. DORA finns tillgängligt som ett dedikerat ramverk i Cyberday, med uppgifter, policyer och dokumentationsverktyg som är byggda för efterlevnad inom finanssektorn. Finanssektorn och deras ICT-tjänsteleverantörer utgör ett viktigt segment i Cyberday, och cirka 20 % av kunderna använder DORA-ramverket.

Lag om cyberresiliens (CRA)

Lagen om Lagen om cyberresiliens är en EU-förordning som fokuserar på att förbättra cybersäkerheten för digitala produkter. Syftet är att se till att hårdvara och mjukvara som släpps ut på EU-marknaden har inbyggda säkerhetsfunktioner och säkerhetsansvar under hela sin livscykel.

Vem gäller CRA för?

CRA gäller för tillverkare, importörer och distributörer av produkter med digitala element, inklusive:

• Programvaruapplikationer
• Uppkopplade enheter (IoT)
• Operativsystem
• Programvara för industriell styrning
• Inbäddad programvara i hårdvaruprodukter

Produkter som redan omfattas av andra EU-lagar, t.ex. medicintekniska produkter, fordon eller flygutrustning, är undantagna. Om din organisation utvecklar, säljer eller distribuerar digitala produkter i EU kommer CRA sannolikt att tillämpas.

Vad kräver kreditvärderingsinstitutet?

CRA inför säkerhetskrav för hela produktlivscykeln. Viktiga krav inkluderar:

• Secure-by-design och standardutvecklingsmetoder
• En dokumenterad process för hantering av sårbarheter
• Incidentrapportering för aktivt utnyttjade sårbarheter
• Löpande säkerhetsuppdateringar och support för produkter
• Teknisk dokumentation som visar överensstämmelse

Vissa "kritiska" produktkategorier måste genomgå tredjepartsbedömningar av överensstämmelse, medan andra själva kan deklarera att de uppfyller kraven.

Varför är CRA viktigt?

CRA är obligatoriskt och inför rättsligt ansvar för osäkra produkter. Det flyttar ansvaret till leverantörerna att säkerställa cybersäkerhet från dag ett - inte som en eftertanke. Detta bidrar till att minska den EU-omfattande risk som dåligt säkrade digitala verktyg utgör och skapar ett marknadstryck för säker innovation.

Hur överlappar CRA med andra ramverk?

CRA överlappar med ISO 27001 när det gäller säker utveckling, sårbarhetshantering och incidenthantering. Den är också anpassad till NIS2 när digitala produkter ingår i kritisk infrastruktur och till DORA inom finanssektorn. I likhet med GDPR införs krav på incidentrapportering - men kopplat till sårbarheter i produkter.

Vilka bestämmelser liknar CRA utanför EU?

• US IoT Cybersecurity Improvement Act (upphandling inom den offentliga sektorn)
• Storbritanniens lag om produktsäkerhet och telekommunikationsinfrastruktur (PSTI)
• Olika globala standarder kring säker mjukvaruutveckling och produktmärkning

Vad är tidslinjen för efterlevnad av CRA?

CRA trädde i kraft den 10 december 2024. De flesta skyldigheter kommer att gälla från och med den 11 december 2027. Tillverkare och distributörer bör börja utvärdera berörda produkter och förbereda teknisk dokumentation i god tid.

Får CRA stöd i Cyberday?

Ja. Vi har just slutfört det fullständiga stödet för Cyber Resilience Act i Cyberday. Detta inkluderar uppgifter och kontroller för sårbarhetshantering, incidentrapportering, säkra utvecklingsmetoder och teknisk dokumentation.
‍
‍

ISO 27001 (hantering av informationssäkerhet)

ISO/IEC 27001 är den ledande internationella standarden för ledningssystem för informationssäkerhet (ISMS). Till skillnad från EU-förordningarna är den inte obligatorisk, men den används i stor utsträckning i olika branscher för att bevisa starka säkerhetsrutiner och stödja efterlevnad av regler.

Vem gäller ISO 27001 för?

ISO 27001 är frivillig, men värdefull för alla organisationer - stora som små - som vill hantera informationssäkerhet på ett systematiskt sätt. Den är användbar för alla organisationer som behöver bevisa säkerhet för kunder eller partners

Vad kräver ISO 27001?

Standarden definierar ett strukturerat tillvägagångssätt för att identifiera, hantera och minska informationssäkerhetsrisker. Viktiga element inkluderar:

• Ett formellt system för hantering av informationssäkerhet (ISMS)
• Riskbedömningar och planering av riskhantering
• Tydliga säkerhetsmål och säkerhetspolicyer
• Fördelning av roller och ansvarsområden
• Genomförande av relevanta kontroller från bilaga A (uppdaterad 2022)
• Internrevisioner och kontinuerlig förbättring

Organisationer kan certifiera sig mot ISO 27001 genom att klara en formell revision.

Varför är ISO 27001 viktigt?

Även om ISO 27001 inte är ett lagstadgat krav betraktas det ofta som "guldstandarden" för informationssäkerhet. Den är globalt erkänd och krävs ofta i B2B-affärer, upphandlingsprocesser och leverantörsbedömningar. Den hjälper också till att förbereda sig för obligatoriska förordningar som NIS2, DORA och GDPR genom att täcka överlappande kontrollområden.

Hur överlappar ISO 27001 med andra ramverk?

ISO 27001 ger en grundläggande struktur för säkerhet, så det finns en omfattande överlappning med:

• NIS2 - riskhantering, styrning, incidenthantering
• DORA - ICT-risk och operativ motståndskraft
• GDPR - kontroll av dataåtkomst, åtgärder vid överträdelser
• CRA - säker utveckling och hantering av sårbarheter

Genom att använda ISO 27001 blir det mycket enklare att uppfylla kraven i flera ramverk.

Vilka regelverk liknar ISO 27001 utanför EU?

ISO 27001 är internationell, så det finns ingen direkt motsvarighet - men den är ofta väl anpassad till:

• NIST:s ramverk för cybersäkerhet (USA)
• SOC 2 (för tjänsteleverantörer i USA)

Vad är tidslinjen för efterlevnad av ISO 27001?

Det finns ingen fast deadline - organisationer kan anta och certifiera enligt sitt eget schema. De som använder den äldre 2013-versionen måste dock övergå till 2022-versionen senast i oktober 2025 för att behålla giltig certifiering.

Har ISO 27001 stöd i Cyberday?

Ja, det gör vi. Cyberday stöder hela ISO 27001:2022-standarden, inklusive alla uppdaterade Annex A-kontroller, nödvändig dokumentation och spårning av internrevision. Över 600 organisationer använder ISO 27001 i Cyberday, vilket gör det till det mest populära cybersäkerhetsramverket.

Andra relevanta förordningar i EU

Det finns ytterligare några EU-regler och globala regler som berör cybersäkerhet, men som inte är huvudfokus i den här artikeln. Här är några som är värda att hålla ögonen på:

EU:s AI-lag

EU:s AI-lag AI-akten reglerar utveckling och användning av system för artificiell intelligens baserat på risknivåer. Även om det inte är en renodlad cybersäkerhetslag införs säkerhetsrelaterade krav, särskilt för system med hög risk.

Relevant för organisationer som:

• Utveckla eller använda AI-system inom reglerade sektorer
• Hantera känslig data via AI
• Använda AI i beslutsfattande roller (t.ex. anställning, kreditbedömning)

Viktiga överlappningar med cybersäkerhet:

• Robusthet och noggrannhet hos AI-modeller
• Risk- och säkerhetsbedömningar
• Incidenthantering om AI orsakar skada eller funktionsfel

Om din organisation använder AI är det värt att följa AI-lagens slutliga form och tidslinjer.

Lag om cybersolidaritet (CSA)

Cybersolidaritetslagen är inte ett ramverk som organisationer måste följa direkt. Istället är det ett initiativ på EU-nivå som syftar till att öka kapaciteten för gränsöverskridande upptäckt av cyberhot, incidenthantering och krishantering.

Det fastställer saker som:

• En EU-reserv för cybersäkerhet
• En europeisk cybersköld (nätverk av centrum för säkerhetsoperationer)
• Finansiering och samordningsstöd för storskaliga incidenter

Även om CSA inte är något du implementerar internt kan det påverka hur din organisation interagerar med nationella myndigheter eller får stöd under större cyberhändelser.

Branschspecifika föreskrifter

Beroende på din bransch kan följande ramverk också gälla - antingen på grund av lagkrav eller branschförväntningar:

• PSD2 (EU): Reglering av betaltjänster med krav på stark kundautentisering och förebyggande av bedrägerier.
• PCI DSS (global): Gäller för alla enheter som behandlar eller lagrar kortinnehavardata.
• EU MDR (EU): Kräver cybersäkerhetskontroller i medicintekniska produkter.
• TISAX (EU): En allmänt antagen standard inom fordonsindustrin för hantering av informationssäkerhetsbedömningar.

Dessa är mer specialiserade men används ofta tillsammans med de viktigaste ramverken (som NIS2 eller ISO 27001) i ett bredare efterlevnadsarbete.

Förenkla efterlevnaden med Cyberday

Att hantera cybersäkerhetskrav från flera ramverk behöver inte innebära dubbelarbete. Cyberday är byggt för att hjälpa organisationer att implementera och underhålla säkerhetsramverk på ett centraliserat, effektivt och skalbart sätt.

Var och en av de centrala ramverken som behandlas i den här artikeln - NIS2, GDPR, DORA, CRA (snart), ISO 27001- finns tillgängliga som en färdig struktur i Cyberday, komplett med uppgifter, dokumentationsmallar, policyer och revisionsverktyg. När Cyberday har aktiverats identifierar det automatiskt överlappande krav mellan ramverken och låter dig hantera delade uppgifter endast en gång.

Verklig överlappning = verkliga tidsbesparingar

Så här ser det ut i praktiken:

Om du implementerar NIS2 fullt ut har du redan täckt in det:

• ~40% av ISO 27001-uppgifter
• ~45% av GDPR-uppgifter
• ~45% av DORA:s uppgifter

Det är ett stort försprång för organisationer som arbetar med flera olika regelverk - och en god anledning att undvika att hantera varje regelverk i en silo.

En miljö, flera ramverk

Cyberday ger ditt team:

• En tydlig uppgiftslista för varje aktivt ramverk
• Automatisk kartläggning av överlappande krav
• En samlad bild av din efterlevnadsdokumentation och revisionsstatus
• Inbyggd vägledning för att hålla ditt säkerhetsarbete i linje med förändrade regler

Oavsett om du börjar med GDPR eller skalar upp till DORA och NIS2 gör Cyberday det enklare att uppfylla kraven utan att börja om från början varje gång. Starta din kostnadsfria testversion idag!

‍