NIS2-direktivet utvidgar EU:s cybersäkerhetsregler kraftigt och drar in tusentals nya organisationer i tillämpningsområdet. Många företag som aldrig betraktat sig som “kritisk infrastruktur” har nu formella krav på säkerhet och rapportering.
Omfattas ni?
NIS2 täcker “väsentliga” och “viktiga” verksamheter inom sektorer som energi, transport, hälsa, digital infrastruktur, tillverkning, livsmedel och digitala tjänster. Medelstora och stora organisationer i dessa sektorer omfattas i regel — och även vissa mindre som spelar en kritisk roll.
Vad som krävs
Kärnkraven är åtgärder för riskhantering, incidentrapportering inom snäva tidsramar, säkerhet i leverantörskedjan och — viktigt — ansvar i ledningen. Enligt NIS2 kan ledande befattningshavare hållas personligt ansvariga för brister, vilket lyfter cybersäkerheten från en it-fråga till en styrelsefråga.
Praktiska första steg
- Bekräfta om er organisation räknas som väsentlig eller viktig.
- Gör en riskbedömning och täpp till de tydligaste luckorna.
- Inför en process för incidentrapportering som klarar tidsramarna.
- Informera styrelsen om dess skyldigheter.
NIS2 bör inte ses som en börda utan som ett strukturerat sätt att minska verklig operativ risk. Rapporteringstiderna är korta, så tiden att förbereda sig är före en incident — inte under den.
