Nationellt genomförande av NIS2: Vilka länder finns tillgängliga i Cyberday?

NIS2 är EU:s cybersäkerhetsdirektiv, som bygger vidare på sin föregångare för att säkerställa starkare skydd och motståndskraft. I denna bloggartikel tittar vi närmare på den nationella implementeringen som krävs enligt NIS2-direktivet och tar en titt på de lokala lagarna: vilka finns tillgängliga på Cyberday och hur skiljer de sig från EU-direktivet?

NIS2-direktivet är en uppdaterad version av det ursprungliga NIS-direktivet, som utvidgar tillämpningsområdet för det ursprungliga direktivet och syftar till att stärka cybersäkerheten i hela EU. NIS2-direktivet är tillämpligt på ett stort antal sektorer som är kritiska för ekonomins funktion, t.ex. energi, transport, vatten, livsmedel, hälsa, finans, operatörer av digital infrastruktur, tillverkningsindustri och många andra.

Våren 2024 publicerade vi en e-bok om NIS2 redo med bästa praxis enligt ISO 27001. I vår kostnadsfria e-bok guidar vi dig genom NIS2:s värld, innehållet i direktivet och ger dig praktiska tips om hur du uppnår efterlevnad. Hämta din e-bok här: cyberday.ai/ebook

NIS2 och lokal lagstiftning

EU:s medlemsstater var skyldiga att anta NIS2-direktivet i nationell lagstiftning senast den 17 oktober 2024, med implementering kort därefter. Även om många missade tidsfristen pågår framsteg och de flesta länder förväntas slutföra sin lagstiftning inom kort. Direktivet breddar de sektorer som omfattas och stärker kraven på riskhantering, incidentrapportering och cybersäkerhetsåtgärder, inklusive strängare standarder för incidentrapportering och säkerhet i leveranskedjan.

Viktiga beslut på nationell nivå omfattar fastställande av lokala myndigheter, genomförande och övervakningsdetaljer. Direktivet fastställer minimikontrollmetoder och tillåter endast tillägg på nationell nivå. Överväganden inkluderar:

Tillsynsmyndigheter:

NIS2 lägger stor vikt vid de offentliga myndigheternas roll för att säkerställa cybersäkerheten för kritiska tjänster och kritisk infrastruktur i EU och betonar behovet av ökat samarbete mellan offentliga myndigheter i EU:s medlemsstater.

I den nationella lagstiftningen bör det anges vilka myndigheter som ansvarar för att övervaka genomförandet av NIS2 i det berörda landet, och om övervakningen till exempel är uppdelad mellan olika myndigheter beroende på deras kompetensområden. Länderna måste utse lokala myndigheter som ska se till att NIS2-reglerna följs: detta innebär att man utser nationella tillsynsmyndigheter eller skapar nya tillsynsgrupper för sektorer som energi, hälsa och transport.

Genomförande och övervakning:

NIS2 fastställer tydliga och strikta krav för genomförande och övervakning för att säkerställa efterlevnad av både organisationer och medlemsstater. Medlemsstaterna måste tillämpa kontrollåtgärder mot nyckelaktörer som är effektiva, proportionerliga och avskräckande, samtidigt som de beaktar de särskilda omständigheterna i varje enskilt fall. Om övervakningen visar att en betydande aktör eventuellt inte följer reglerna måste myndigheterna vidta lämpliga åtgärder, inklusive, om nödvändigt, kontrollåtgärder i efterhand. Dessutom bör länderna inrätta team för att hantera och utreda cybersäkerhetsincidenter vid behov.

Riskhantering och säkerhetsåtgärder:

Enligt NIS2 bör en organisation ha väldefinierade policyer för att hantera informationssäkerhetsrisker, bedöma effektiviteten i säkerhetsåtgärderna och identifiera viktiga områden för förbättringar.

NIS2-direktivet identifierar specifikt följande områden av informationssäkerhet för vilka organisationen måste dokumentera och genomföra sina åtgärder, och organisationens ledning är ansvarig för att dessa åtgärder är tillräckliga:

• Riskhantering och systemsäkerhet
• Incidenthantering, loggning och upptäckt
• Kontinuitet i verksamheten och backup
• Säkerhet och kontroll av leveranskedjan
• Förvärv och utveckling av säkra system
• Utvärdering av säkerhetsåtgärdernas effektivitet
• Rutiner för och utbildning i informationssäkerhetshygien
• Kryptering
• Personalens säkerhet
• Hantering av åtkomst
• Förvaltning av skyddade tillgångar
• Multifaktorautentisering (MFA)

Tips: För att bedöma om informationssäkerhetsåtgärderna är tillräckliga är det bra att använda allmänt accepterat innehåll, t.ex. ISO 27001.

Varje land måste se till att organisationerna vidtar åtgärder för att hantera risker. Dessa åtgärder innefattar att säkerställa att leveranskedjorna är säkra samt att noggrant granska riskerna.

Upptäckt och rapportering av incidenter:

Enligt NIS2 måste betydande incidenter rapporteras till den nationella tillsynsmyndigheten, så det är den nationella lagstiftningen som avgör när och hur incidenter ska rapporteras. NIS2 fastställer således de grundläggande standarderna, men länderna kan fastställa strängare eller mer detaljerade regler enligt sina egna behov.

På nationell nivå är det också möjligt att gå utöver NIS2-direktivets tillämpningsområde och att skapa specifikationer enligt nationella behov. Dessa avtal och åtgärder på nationell nivå kommer att säkerställa att NIS2-direktivet är anpassat till varje lands lagstiftning samtidigt som en enhetlig strategi för cybersäkerhet upprätthålls i hela EU.

Vilka lokala NIS2-lagar finns tillgängliga på Cyberday?

Här är den nuvarande situationen i ett nötskal:

‍
Österrike: Netz- und Informationssystemsicherheitsgesetz 🇦🇹

Österrikes Netz- und Informationssystemsicherheitsgesetz (NIS-lagen) implementerar NIS2-direktivet i nationell lagstiftning. Den fastställer krav på riskhantering för cybersäkerhet, incidentrapportering och sektorsspecifika skyddsåtgärder för både samhällsviktiga och viktiga enheter. Lagen är nära anpassad till NIS2:s tillämpningsområde, samtidigt som den beskriver nationella tillsynsstrukturer och samarbetsmekanismer. Genomförandet leds av det federala ministeriet för klimatåtgärder, miljö, energi, mobilitet, innovation och teknik (BMKÖ) i samarbete med det österrikiska cybersäkerhetsrådet.

Belgium: Lagen NIS2 🇧🇪

Belgien har införlivat EU:s NIS2-direktiv i sin nationella lagstiftning genom den så kallade NIS2-lagen. Denna lagstiftning är nära anpassad till EU-direktivet och innehåller endast mindre nationella anpassningar. Den fastställer cybersäkerhetskrav för företag som är verksamma inom kritiska sektorer och registrerade i Belgien. Viktiga nationella åtgärder är bland annat särskilda registreringsförfaranden och bedömningar av överensstämmelse.

Bulgarien: Закон за прилагане на NIS2 🇧🇬

Bulgariens lag om tillämpning av NIS2 fastställer ett nationellt ramverk för att identifiera och säkra väsentliga och viktiga enheter i enlighet med NIS2-direktivet. Lagen inför särskilda nationella förfaranden för registrering, incidentrapportering och sektorsvisa revisioner, samt förstärkta tillsynsbefogenheter. Genomförandet hanteras gemensamt av State Agency for National Security och Commission for Personal Data Protection.

Kroatien: Zakon o kibernetičkoj sigurnosti 🇭🇷

Kroatiens implementering av NIS2 Cybersäkerhetslagen (Zakon o kibernetičkoj sigurnosti NN 14/2024) trädde i kraft i februari 2024. Den definierar cybersäkerhetsregler för kroatiska företag med samma kriterier som NIS2 med vissa undantag, t.ex. inkludering av ytterligare sektorer, detaljerad kategorisering av enheter, definierade tidsfrister för efterlevnad och specificerade påföljder.

Cyprus: Ο Νόμος για την Κυβερνοασφάλεια 🇨🇾

Cyperns cybersäkerhetslag implementerar EU:s NIS2-direktiv och fastställer skyldigheter för väsentliga och viktiga enheter att införa riskhanteringsåtgärder, rapportera incidenter och samarbeta med nationella myndigheter. Lagen omfattar nationella utnämningsprocesser och klargör sektorsspecifika ansvarsområden. Avdelningen för elektronisk kommunikation under ministeriet för transport, kommunikation och arbete fungerar som det primära tillsynsorganet.

Tjeckiska republiken: Zákon o kybernetické bezpečnosti 🇨🇿

Tjeckiens Zákon o kybernetické bezpečnosti (cybersäkerhetslag) implementeras i två versioner: en "stor" och en "liten" variant. Den stora versionen gäller för kritiska och stora operatörer, medan den lilla versionen omfattar medelstora enheter i viktiga sektorer. Lagen introducerar en riskbaserad efterlevnadsmodell, differentierade skyldigheter och en nära anpassning till NIS2. Den nationella myndigheten för cyber- och informationssäkerhet (NUKIB) fungerar som primär myndighet.

Danmark: Cybersikkerhedsloven 🇩🇰

Danmarks "Cybersikkerhedsloven" (Cybersäkerhetslagen) implementerar NIS2-direktivet och etablerar ett juridiskt ramverk för cybersäkerhet inom väsentliga och viktiga sektorer. Lagen föreskriver riskhanteringsåtgärder och incidentrapportering för ett brett spektrum av enheter, med fokus på att harmonisera med befintliga nationella cybersäkerhetsregler. Den danska digitaliseringsmyndigheten är den huvudsakliga tillsynsmyndigheten och arbetar med andra sektoriella tillsynsmyndigheter för att säkerställa efterlevnad och främja samarbete mellan den offentliga och privata sektorn.

Estland: Küberturvalisuse seadus 🇪🇪

Estlands Küberturvalisuse seadus (Cybersecurity Act) uppdaterar det nationella ramverket i linje med NIS2-direktivet. Den utökar skyldigheterna för väsentliga och viktiga enheter, inför strängare tidsfrister för incidentrapportering och stärker samarbetet mellan myndigheten för informationssystem (RIA) och tillsynsmyndigheter inom olika sektorer. Lagen syftar till att modernisera Estlands redan avancerade cybersäkerhetsstyrning och anpassa den till EU-omfattande standarder.

Finland: Kyberturvallisuuslaki 🇫🇮

Finlands "Kyberturvallisuuslaki" väntar på det sista godkännandet, men kan redan användas vid genomförandet. Cybersäkerhetslagen skapar en tydlig rättslig ram för riskhantering och incidentrapportering inom informationssäkerhet i linje med NIS2-direktivet. Den nya lagen syftar till att förenhetliga Finlands nuvarande fragmenterade cybersäkerhetslagstiftning och harmonisera den med de EU-omfattande standarder som infördes genom NIS2. Den utvidgar tillämpningsområdet för riskhanterings- och rapporteringskraven och förtydligar antalet företag och offentliga institutioner som måste uppfylla dem. Cybersäkerhetslagen tar sin utgångspunkt i direktivets miniminivå och definierar huvudsakligen de punkter som motsvarar innehållet i direktivet. Cybersäkerhetslagen utökar inte tillämpningsområdet för NIS2-direktivet eller kontrollmedlen.

Tyskland: NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz 🇩🇪

Tysklands lag om genomförande av NIS2 och förstärkning av cybersäkerheten (NIS2 Implementation and Cybersecurity Strengthening Act ) införlivar EU-direktivet med ytterligare nationella åtgärder för verkställighet, inklusive strängare tidsfrister för incidentrapportering, strängare straff och bredare sektoriell räckvidd inom vissa områden. Federal Office for Information Security (BSI) fungerar som den huvudsakliga tillsynsmyndigheten, med stöd av tillsynsmyndigheter på delstatsnivå för vissa sektorer.

Grekland: Εθνική αρχή για την ασφάλεια στον κυβερνοχώρο ... 🇬🇷

Grekland har antagit sin NIS2-implementering, som stärker cybersäkerhetsskyldigheterna för kritiska sektorer, inklusive energi, transport och digital infrastruktur. Lagen är nära anpassad till EU-direktivet, samtidigt som den inför ytterligare processer för tillsyn och verifiering av efterlevnad. Genomförandet sköts av den grekiska nationella cybersäkerhetsmyndigheten, som samordnar med tillsynsmyndigheter inom olika sektorer.

Irland: Lagförslag om nationell cybersäkerhet 2024 🇮🇪

Irlands National Cyber Security Bill 2024 införlivar NIS2-direktivet i irländsk lagstiftning. Det fastställer skyldigheter för riskhantering och incidentrapportering för väsentliga och viktiga enheter, med nationella förfaranden för registrering och övervakning av efterlevnad. National Cyber Security Centre (NCSC), som lyder under Department of the Environment, Climate and Communications, är det ledande tillsynsorganet.

Italien: Il Cybersecurity Act Decreto legislativo n. 138 🇮🇹

Italiens cybersäkerhetslag (lagstiftningsdekret nr 138) införlivar NIS2 med ytterligare åtgärder för enheter inom den offentliga förvaltningen och vissa privata operatörer. Lagen innehåller detaljerade tidsfrister för efterlevnad, skärpta påföljder och utökade skyldigheter inom kritiska sektorer. Den nationella cybersäkerhetsmyndigheten (ACN) ansvarar för tillsyn och verkställighet.

Lettland: Nacionālās kiberdrošības likums 🇱🇻‍

NIS2 har antagits som "National Cyber Security Act" i Lettland. Den förbättrar säkerheten för informations- och kommunikationsteknik, inklusive fastställande av krav för tillhandahållande och mottagande av väsentliga och viktiga tjänster och drift av informations- och kommunikationsteknik. Lagen utvidgar tillämpningsområdet till att omfatta organisationer inom både den offentliga och den privata sektorn och delar in dem i tre grupper baserat på hur kritiska de är.

Litauen: Kibernetinio Saugumo Įstatymas 🇱🇹

Genom cybersäkerhetslagen "Kibernetinio Saugumo Įstatymas" genomförs EU:s NIS2-lag i Litauen. Lagen ställer krav på olika organisationer att stärka sin hantering av cybersäkerhetsrisker. Den litauiska lagen introducerar ett utökat tillämpningsområde, detaljerade tidsfrister för genomförandet (12 månader från införandet) och definierade tillsynsroller.

Luxemburg: Projet de loi n° 8364 🇱🇺

Luxemburgs lagförslag nr 8364 implementerar NIS2-direktivet i nationell lagstiftning, med bestämmelser om cybersäkerhetsskyldigheter, incidentrapportering och sektorsspecifika krav, särskilt inom finansiell och digital infrastruktur. High Commission for National Protection (HCPN) kommer att fungera som den huvudsakliga tillsynsmyndigheten när lagen har antagits.

Malta: Avviż Legali 71 tal-2025 🇲🇹

Maltas rättsliga meddelande 71 från 2025 ger nationell verkan åt NIS2 genom att införa krav på säkerhet, riskhantering och incidentrapportering för väsentliga och viktiga enheter. I meddelandet beskrivs sektorsansvar och rapporteringsmekanismer. Maltas cybersäkerhetsmyndighet övervakar genomförandet och efterlevnaden.

Nederländerna: Cyberbeveiligingswet 🇳🇱

Den nederländska cybersäkerhetslagen (Cyberbeveiligingswet) införlivar NIS2 med nationella anpassningar för incidenthantering, sektorsövergripande samarbete och offentlig-privat samordning. Den gäller för väsentliga och viktiga enheter inom kritiska sektorer. Det nationella cybersäkerhetscentret (NCSC), som lyder under justitie- och säkerhetsministeriet, fungerar som det ledande tillsynsorganet.

Norge: Lov om digital sikkerhet 🇳🇴

Norges "Lov om digital sikkerhet" (lag om digital säkerhet) är en nationell lag som överensstämmer med principerna i EU:s NIS2-direktiv, även om det inte är ett direkt införlivande eftersom Norge inte är ett EU-medlemsland. Lagen utvidgar cybersäkerhetsskyldigheterna till ett bredare spektrum av kritiska sektorer och leverantörer av digitala tjänster, vilket speglar NIS2-ramverket. Den betonar riskhantering, incidentrapportering och samarbete med offentliga myndigheter. Den norska nationella säkerhetsmyndigheten (NSM) är den centrala myndighet som ansvarar för tillsyn och verkställighet.

Polen: Ustawa o krajowym systemie cyberbezpieczeństwa 🇵🇱

Polens Ustawa o krajowym systemie cyberbezpieczeństwa (KSC-lagen) införlivar NIS2 genom att utvidga kraven på riskhantering, rapportering och leverantörstillsyn till att omfatta ett bredare spektrum av enheter. Den inför ett nationellt certifieringssystem och särskilda regler för operatörer av kritisk infrastruktur. Ministeriet för digitala frågor och regeringens säkerhetscenter övervakar efterlevnaden och samordningen mellan olika sektorer.

Rumänien: Ordonanța de Urgență nr. 155/2024 🇷🇴

Rumäniens nödförordning nr 155/2024 verkställer NIS2-direktivet på nationell nivå och lägger till tekniska och procedurmässiga krav för både offentliga och privata operatörer. Det nationella direktoratet för cybersäkerhet (DNSC) ansvarar för tillsyn, verkställighet och sektorsvis samordning.

Spanien: Ley de Ciberseguridad 🇪🇸

Spaniens cybersäkerhetslag införlivar NIS2 med nationella förfaranden för utnämning, övervakning av efterlevnad och påföljder. Den innehåller ytterligare åtgärder för den offentliga förvaltningen och stärker kapaciteten för incidenthantering. Det nationella cybersäkerhetsrådet samordnar verkställigheten med relevanta sektorsmyndigheter.

Sverige: Cybersäkerhetslagen 🇸🇪

Sveriges cybersäkerhetslag implementerar NIS2-krav för samhällsviktiga och viktiga enheter, med sektorsspecifik vägledning och samordningsmekanismer. Myndigheten för samhällsskydd och beredskap (MSB) fungerar som den primära tillsynsmyndigheten, med stöd av relevanta sektoriella tillsynsmyndigheter.

‍

‍

Börja implementera den nationella lagstiftningen i Cyberday

Du kan nu aktivera dina nationella lagar på Cyberday! Här hittar du den allmänna EU-versionen av NIS2-direktivet samt de nationella lagarna i de länder som omfattas av NIS2-ramverket. Aktivera den lagstiftning du vill ha med ett klick på en knapp.

‍

‍