NIS2- och CER-direktiven
Även om nyheten om NIS2- och CER-direktiven släpptes för en tid sedan, har vi på senare tid fått frågor från våra kunder kring vad dessa regler egentligen innebär och hur man konkret kan börja förbereda sig. För många organisationer börjar det nu bli verkligt att direktiven kommer att kräva efterlevnad inom en snar framtid, och det är hög tid att börja ta steg i rätt riktning.
Vad är NIS2-direktivet?
NIS2-direktivet (EU 2022/2555) representerar ett viktigt steg i EU:s ambition att stärka cybersäkerheten för företag och offentliga aktörer med samhällskritiska funktioner. Genom att höja säkerhetskraven för sektorer som energi, transport, hälsa och finans blir direktivet ett centralt verktyg för att skydda dessa organisationer från de alltmer sofistikerade hot vi ser idag.
Direktivet fokuserar på fyra nyckelområden:
- Utökat ansvar: Organisationer har nu ett tydligare ansvar att hantera cybersäkerhetsrisker och att rapportera incidenter som kan påverka samhällsfunktioner.
- Gemensam standard: En enhetlig säkerhetsstandard för riskhantering och incidentrapportering ska införas av alla medlemsländer.
- Ökad tillsyn och sanktioner: Myndigheter har utökade befogenheter att genomföra kontroller och tillämpa sanktioner vid bristande efterlevnad.
- Internationellt samarbete: Direktivet främjar samordning mellan medlemsländer och tredjeländer för att förebygga och hantera cyberhot.
För att säkerställa efterlevnad har medlemsländerna även getts utökade befogenheter för tillsyn och möjligheten att införa kraftiga sanktioner. Organisationer som misslyckas med att följa reglerna riskerar betydande böter, vilket understryker vikten av att vidta nödvändiga åtgärder i tid.
CER-direktivet: Fokuserat skydd av kritisk infrastruktur
CER-direktivet (EU 2022/2557) kompletterar NIS2 genom att koncentrera sig på resiliens för kritisk infrastruktur mot både fysiska och digitala hot. Syftet är att säkerställa kontinuiteten i kritiska sektorer som energiförsörjning, vatten och transport. Kraven i CER omfattar:
- Skydd och kontinuitet: Organisationer inom kritisk infrastruktur ska utveckla strategier för att upprätthålla kontinuiteten i sina verksamheter.
- Riskanalyser: Det ställs krav på kontinuerliga riskbedömningar för att snabbt kunna identifiera och hantera hot.
- Ökat skyddssamarbete: EU-medlemsländerna uppmanas att dela information och samordna skyddsåtgärder på både nationell och EU-nivå.
Svenska anpassningar för NIS2 och CER: SOU 2024:18 och SOU 2024:64
För att införa NIS2 och CER i svensk lagstiftning föreslås följande anpassningar enligt utredningarna SOU 2024:18 och SOU 2024:64:
- Utvidgat tillsynsansvar: Flera svenska myndigheter föreslås få ett utökat ansvar att övervaka cybersäkerhet och resiliens inom sina respektive sektorer.
- Nya rapporteringskrav: Aktörer inom kritisk infrastruktur kommer behöva rapportera regelbundet om sin säkerhetsstatus och eventuella incidenter.
- Etablering av ett nationellt cybersäkerhetscenter: Ett nationellt centrum föreslås för att samordna och stödja säkerhetsinsatser över hela landet.
- Skärpta krav på riskhantering och sanktionsmöjligheter: Nya lagar förväntas ge myndigheter utökade befogenheter att sanktionera brister i säkerhetsarbetet.
Praktiska åtgärder för att uppfylla NIS2-kraven
Att uppfylla kraven i NIS2 kräver ett strukturerat och proaktivt säkerhetsarbete. Här är de viktigaste stegen att fokusera på:
- Riskhantering och säkerhetsåtgärder: Regelbundna riskbedömningar och implementering av skyddsåtgärder som brandväggar och kryptering.
- Incidentrapportering och hantering: Etablera incidenthanteringsprocesser för att rapportera och snabbt kunna åtgärda hot.
- Interna policyer och styrdokument: Utveckla tydliga policyer för cybersäkerhet och kontinuitetsplanering.
- Utbildning och medvetenhet: Genomför regelbundna utbildningar för att höja säkerhetsmedvetandet bland medarbetarna.
- Tekniska åtgärder och systemövervakning: Använd övervakningsverktyg för att identifiera potentiella attacker i realtid.
- Samarbete med externa aktörer: Säkerställ att leverantörer och partners uppfyller säkerhetskraven.
- Kontinuitets- och återhämtningsplaner: Ha en plan för att säkerställa verksamhetens kontinuitet vid större störningar.
- Löpande rapportering och uppföljning: Regelbunden rapportering och årlig granskning av säkerhetsåtgärder.
För att göra det enklare att implementera dessa åtgärder, erbjuder vi en checklista med detaljerade steg för att säkerställa att din organisation uppfyller alla NIS2-krav.
Förbered din organisation för NIS2
Vi hjälper dig att förstå och följa direktivet med Microsoft Security lösningar.
Ladda ner guiden och få insikt i vad NIS2 innebär för din organisation samt hur Microsofts lösningar kan hjälp er att efterleva direktivet.
Fler resurser som hjälper dig att uppfylla NIS2-kraven
Mallar för kontinuitetsplan & inventering
Säkerställ att din verksamhet är redo för oväntade händelser med vår kontinuitetsplan-mall och inventeringsmall.
Windows Autopatch Guide
Upptäck hur du automatiserar patchhantering och säkerhetsuppdateringar med vår Windows Autopatch-guide.
