Innholdsfortegnelse

• Introduksjon

• Fra NIS til NIS2 – hvorfor en oppdatering?

• Hvem er dekket av NIS2?

• Nøkkelkrav i NIS2

• Hvordan vil svenske selskaper og organisasjoner bli påvirket?

• Muligheter med NIS2

• Utfordringer langs veien

• Hva bør bedrifter gjøre nå?

• Recommended courses at AVC

• Konklusjon

Introduksjon

Digitalisering fortsetter å gjennomsyre alle samfunnsområder. Forretningsmodeller, kritiske samfunnsfunksjoner og borgernes dagligliv er i økende grad basert på digital infrastruktur. Imidlertid følger denne utviklingen med en markant økning i sårbarhet for cyberangrep, datainnbrudd og andre IT-relaterte hendelser. For å styrke den digitale motstandsdyktigheten til sine medlemsstater, har EU innført et nytt rammeverk: NIS2-direktivet

Siden 17. oktober 2024, har NIS2 vært en del av svensk lov, som introduserer store nye krav til bedrifter og offentlige organisasjoner. Her skisserer vi hva direktivet betyr, hvorfor det er viktig, og hvordan man forbereder seg i praksis.

Fra NIS til NIS2 – hvorfor en oppdatering?

EUs første NIS-direktiv (2016) var unionens første felles rammeverk for cybersikkerhet. Formålet var å sikre at operatører av essensielle tjenester og digitale tjenesteleverandører hadde et grunnleggende sikkerhetsnivå og at alvorlige hendelser ble rapportert.

Til tross for dette har antallet kybertrusler økt dramatisk de siste årene: løsepengevirusangrep, statssponsede kyberkriger, angrep på forsyningskjeder og sabotasje mot kritisk infrastruktur. NIS1 ble ikke lenger ansett som tilstrekkelig.

NIS2 har derfor som mål å:

• Dekk flere sektorer og selskaper – ikke bare de mest kritiske samfunnsfunksjonene.
• Skjerpe kravene til risikostyring, sikkerhetstiltak og rapportering av hendelser.
• Create a more uniform application throughout the EU, so that the level of security does not vary between member states.
• Gi myndighetene større fullmakter til å overvåke og gripe inn i tilfeller av manglende overholdelse.

Hvem er dekket av NIS2?

En av de mest betydningsfulle endringene er at direktivet utvider omfanget av de som er dekket. NIS1 gjaldt hovedsakelig for energi, transport, finans, helsevesen og digital infrastruktur.

NIS2 legger til flere sektorer, inkludert:

• Offentlig forvaltning
• Avfall og kloakkhåndtering
• Matproduksjon og distribusjon
• Produksjon av visse kritiske produkter (f.eks. medisinsk utstyr, farmasøytiske produkter, kjemikalier, elektronikk)
• Leverandører av IT- og cybersikkerhetstjenester

En annen viktig forskjell er at direktivet omfatter alle mellomstore og store selskaper i de utpekte sektorene. Små selskaper (færre enn 50 ansatte og mindre enn €10 millioner i omsetning) er generelt unntatt, men kan være omfattet hvis de anses som spesielt kritiske.

For Sverige betyr dette at betydelig flere organisasjoner enn før må oppfylle kravene – både offentlige og private.

Nøkkelkrav i NIS2

NIS2 pålegger de berørte partene en rekke spesifikke forpliktelser. De viktigste av disse er listet opp nedenfor:

1. Sikkerhetstiltak

Organisasjoner må implementere både tekniske og organisatoriske tiltak for å håndtere risikoer. Disse kan inkludere:

• Styring av cybersikkerhet og risikohåndtering på ledelsesnivå.
• Tiltak for å forebygge, oppdage og håndtere hendelser.
• Sikkerhet i forsyningskjeder.
• Sikkerhet i nettverk og systemer, inkludert kryptering og flerfaktorautentisering.
• Kontinuitets- og gjenopprettingsplaner i tilfelle av driftsavbrudd.

2. Rapportering av hendelser

NIS2 skjerper rapporteringskravene:

• Varsel om tidlig advarsel innen 24 timer etter å ha oppdaget en hendelse.
• Detaljert rapport innen 72 timer.
• En endelig rapport må leveres innen en måned etter hendelsen.

Dette betyr at organisasjoner må etablere prosedyrer for rask intern rapportering, analyse og kommunikasjon med myndighetene.

3. Ledelsens ansvar

En viktig endring er at bedriftsledelsen og styrene får et eksplisitt ansvar for å sikre at organisasjonen overholder kravene. De må:

• Godkjenn sikkerhetstiltak.
• Delta i opplæring i cybersikkerhet.
• Bli holdt personlig ansvarlig for alvorlige mangler.

4. Reguleringsmyndighet og sanksjoner

Hver medlemsstat skal utpeke tilsynsmyndigheter med myndighet til å:

• Gjennomfør revisjoner og inspeksjoner.
• Be om informasjon og bevis på overholdelse.
• Gi bindende instruksjoner.
• Pålegg bøter for manglende overholdelse.

Sanksjonsnivået er høyt – opp til 10 millioner euro eller 2 % av den globale årsomsetningen for de mest alvorlige overtredelsene.

Hvordan vil svenske selskaper og organisasjoner bli påvirket?

I Sverige er det for tiden i gang et arbeid med å utvikle en ny cybersikkerhetslov for å erstatte den forrige NIS-loven. Det forventes at den trer i kraft senest høsten 2024.

For svenske skuespillere betyr dette at de trenger å:

• Avgjør om de er dekket
  • Organisasjoner må avgjøre om de tilhører sektorene og størrelsesklassene som faller under NIS2.

• Styrk styring og ledelse
  • Ledelsen må trenes i cybersikkerhet og integrere problemstillingen i organisasjonens overordnede risikostyring.
• Gjennomfør gap-analyser
  • Hvor godt oppfyller dagens sikkerhetstiltak kravene i NIS2? Hvor er manglene?
• Utvikle robuste rutiner for rapportering av hendelser
  • Prosesser er nødvendige for å oppdage, analysere og rapportere hendelser på en rettidig måte.
• Sikre forsyningskjeden
  • Siden mange cybertrusler sprer seg gjennom underleverandører, må organisasjoner også stille krav til sine partnere.

Muligheter med NIS2

Det er lett å se på NIS2 kun som en byrde med økte kostnader og administrativt arbeid. Men direktivet kan også betraktes som en mulighet:

• Økt konkurranseevne: Selskaper som kan demonstrere høy datasikkerhet blir mer attraktive for kunder og partnere.
• Styrket tillit: Å kunne garantere sikker håndtering av data og systemer bygger tillit.
• Forbedret motstandsdyktighet: Investeringer i sikkerhet reduserer risikoen for kostbare avbrudd, datainnbrudd og skade på merkevaren.
• Standardisering: Ved å harmonisere reglene gir EU selskaper som opererer i flere land et klarere og mer enhetlig spillefelt.

Utfordringer langs veien

Men, det finnes reelle utfordringer:

• Kompleksitet: Mange organisasjoner mangler i dag et klart bilde av sine digitale eiendeler og risikoer.
• Mangelen på ferdigheter: Det er en mangel på eksperter innen cybersikkerhet i både privat og offentlig sektor.
• Kostnader: Investeringer i systemer, prosesser og opplæring kan være betydelige, spesielt for mellomstore selskaper.
• Kulturendring: Cybersikkerhet må bli en naturlig del av hele organisasjonen – ikke bare IT-avdelingens ansvar.

Hva bør bedrifter gjøre nå?

For å være godt forberedt på NIS2, bør svenske selskaper og organisasjoner allerede gjøre følgende:

• Oppnev en prosjektgruppe ansvarlig for etterlevelse av NIS2.
• Opplær styret og ledelsen i de nye kravene og risikoene.
• Gjennomfør en statusanalyse av informasjonssikkerhet og risikostyring.
• Innfør prosedyrer for hendelseshåndtering og øv på scenarioer.
• Engasjer leverandører og sørg for at de oppfyller rimelige sikkerhetskrav.

Anbefalte kurs ved AVC

For å hjelpe organisasjonen din med å oppfylle de nye NIS2-kravene, anbefaler vi to skreddersydde e-læringsprogrammer:

• SecurityLearn® NIS2 Essentials – Et e-læringskurs som gir en grunnleggende forståelse av cybersikkerhetsrisikoer og overholdelsesforpliktelser som beskrevet i artikkel 20 i NIS2-direktivet. Kurset er designet for ikke-teknisk personell, bygger bevissthet og fremmer en kultur for sikkerhet i hele organisasjonen.
• Sertifisert NIS2 (CNIS2) – Et e-læringskurs for ledere, spesialister og fagpersoner som er ansvarlige for å implementere og opprettholde NIS2-samsvar. Dette avanserte kurset bygger bro mellom beste praksis for cybersikkerhet og organisatorisk styring, og gir deltakerne ferdigheter til å håndtere risiko, adressere hendelser og sikre etterlevelse.

Begge kursene leveres på nett, på engelsk, og inkluderer sertifisering. De gir deg kunnskapen og verktøyene du trenger for å oppfylle kravene i det nye direktivet.

Konklusjon

NIS2 markerer en ny æra for cybersikkerhet i Europa. Mens GDPR fokuserte på databeskyttelse og personvern, fokuserer NIS2 på robusthet og motstandsdyktighet i hele den digitale infrastrukturen.

For svenske selskaper og organisasjoner er budskapet klart: cybersikkerhet er ikke lenger en sak for spesialister i IT-avdelingen – det er et strategisk ledelsesspørsmål med juridiske, økonomiske og tillitsmessige implikasjoner.

Å vente på at den nye loven trer i kraft kan bli kostbart. Men å handle i tide kan utgjøre forskjellen mellom å se NIS2 som en tung regulatorisk byrde – eller som en mulighet til å styrke bedriften for fremtiden.

Kilder

• Regjeringen. Nye regler om cybersikkerhet NOU 2024:18 – Delutredning av Utredningen om gjennomføring av NIS2- og CER-direktivene. Oslo: Statens offentlige utredninger, 05. mars 2024. regjeringen.se
• Europakommisjonen. Direktiv (EU) 2022/2555 om tiltak for et høyt felles nivå av cybersikkerhet i Unionen (NIS2-direktivet). EUs offisielle tidende, 27. desember 2022. eur-lex.europa.eu
• ENISA – EUs byrå for cybersikkerhet. NIS2-direktivet: Oversikt og nøkkelressurser. enisa.europa.eu