Så påverkar NIS2-direktivet cybersäkerheten och ansvarsfördelningen i svenska bolag

NIS2-direktivet har blivit ett hett samtalsämne bland företag och organisationer i Sverige och resten av EU. Men vad innebär det egentligen, och varför är det så viktigt att ha koll på det redan nu? I den här artikeln reder vi ut vad NIS2 är, varför det införs och vad det betyder i praktiken för företag som vill ligga steget före inom cybersäkerhet.

Varför har NIS2 tagits fram?

Bakgrunden till NIS2 är de ökade cyberhoten mot samhällets viktigaste funktioner och den digitalisering som påverkat så gott som alla sektorer. Det ursprungliga NIS-direktivet var ett första steg, men det visade sig snabbt att det behövdes skarpare regler och bredare tillämpning. Därför omfattar NIS2 fler sektorer och aktörer, ställer högre krav på ledningen och inför tydligare rutiner för rapportering av incidenter.

Det övergripande målet är att skapa ett robustare cybersäkerhetsramverk inom hela EU och minimera risken att verksamheter lamslås av cyberincidenter, vilket i förlängningen kan få konsekvenser för samhällets grundläggande funktioner.

I Sverige kommer NIS2 att implementeras som nationell lag under namnet cybersäkerhetslagen, med planerat ikraftträdande den 15 januari 2026. Detta innebär att företag och organisationer som omfattas av lagen behöver förbereda sig redan nu för att undvika både verksamhetsrisker och kännbara sanktionsavgifter.

Vilka verksamheter omfattas av NIS2?

NIS2 riktar sig till organisationer som utför viktiga samhällsfunktioner. Det inkluderar nu långt fler sektorer än tidigare, såsom:

• Energiförsörjning (inklusive el, gas, fjärrvärme och leveranskedja)
• Hälso- och sjukvård
• Transport och trafik
• Dricksvatten och avloppssystem
• Digital infrastruktur (exempelvis datacenter och molntjänster)
• Finansiella tjänster
• Livsmedelsproduktion och avfallshantering

Fokus ligger alltså inte längre bara på traditionella kritiska infrastrukturer. Även leverantörer, underleverantörer och andra tredjepartsaktörer som har betydelse för försörjningskedjan omfattas. Det betyder att företag som exempelvis tillverkar komponenter till vindkraftverk eller driver laddstationer för elbilar nu kan omfattas av lagkraven.

Vad kräver NIS2 av ditt företag?

NIS2 innebär skärpta krav som påverkar både organisationens arbetsrutiner och ledningens ansvar. De viktigaste förändringarna är:

• Utbildningskrav: Alla i organisationen ska få relevant utbildning i cybersäkerhet för att skapa en medveten och säkerhetsmedveten kultur.
• Riskhantering och säkerhetsåtgärder: Det ska finnas väl definierade processer för att identifiera, bedöma och hantera cyberrisker. Företaget måste dessutom kontinuerligt uppdatera sina skydd mot nya hot.
• Incidentrapportering: Om en allvarlig incident inträffar måste den rapporteras till berörd myndighet inom 24 timmar. Det innebär att rutiner och ansvar måste vara tydliga på förhand.
• Sanktionssystem: EU har infört betydligt hårdare böter vid överträdelser – upp till 10 miljoner euro eller 2 % av företagets globala omsättning.
• Högre krav på leverantörer: Företaget har ansvar för att även externa leverantörer uppfyller säkerhetskraven och måste genomföra regelbundna granskningar.

Så fördelas ansvaret enligt NIS2

En bärande del i NIS2 är att det nu är företagsledningen som bär det yttersta ansvaret för att organisationen följer direktivets krav. Styrelse och ledning måste säkerställa att det finns en cybersäkerhetsstrategi, att resurser avsätts och att rutinerna för incidenthantering är på plats. Det är alltså inte längre en fråga enbart för IT-avdelningen.

IT- och säkerhetsteamet ansvarar för att införa tekniska och organisatoriska åtgärder, kontinuerligt bedöma risker och rapportera incidenter. Men även leverantörer och tredjepartsaktörer måste nu aktivt följa säkerhetskraven – och det är ditt företag som ska verifiera detta genom exempelvis säkerhetsgranskningar.

Vad händer om man inte följer NIS2?

NIS2 innehåller ett sanktionssystem som kan ge mycket kännbara ekonomiska konsekvenser vid brister eller försummelser. Dessutom riskerar företaget förlora förtroende, kunder och i värsta fall tillstånd att bedriva verksamhet om kraven inte uppfylls.

Myndigheternas tillsyn kommer att vara mer omfattande och de har rätt att utföra både planerade och oanmälda kontroller. Det är därför avgörande att företaget redan nu tar NIS2 på allvar och påbörjar arbetet med att identifiera vilka delar av verksamheten som påverkas.

Sammanfattning

NIS2 är EU:s sätt att framtidssäkra samhällsviktig verksamhet mot cyberhot. Direktivet skärper kraven på såväl ledning, interna processer som externa samarbeten. För svenska företag innebär det en möjlighet att bygga robustare verksamhet – och en skyldighet att agera förebyggande. Ju tidigare man påbörjar omställningen, desto tryggare står företaget inför framtidens digitala utmaningar.