Vad EU:s NIS 2-direktiv innebär för företag

EU:s NIS 2-direktiv syftar till att höja cybersäkerheten i Europa till en ny nivå. Det skärper säkerhetskraven för företag och utökar tillämpningsområdet till ytterligare sektorer. Därmed reagerar EU på de ökade riskerna från cyberattacker och främjar en starkare harmonisering av säkerhetsbestämmelserna inom medlemsstaterna.

Introduktion till NIS 2-direktivet

EU-direktivet om nätverks- och informationssäkerhet, bättre känt som NIS 2, är efterföljaren till det första NIS-direktivet från 2016. Det utvecklades för att svara på de ständigt ökande hoten mot cybersäkerheten inom EU, vilka förvärrades särskilt av den ökande digitaliseringen och COVID-19-pandemin. Det nya NIS 2-direktivet antogs den 16 januari 2023, och medlemsstaterna har fram till den 17 oktober 2024 på sig att införliva det i nationell lagstiftning.

Huvudmålen med NIS 2-direktivet är att öka säkerhetskraven i EU, optimera rapporteringen av säkerhetsincidenter och harmonisera sanktionsbestämmelserna mellan medlemsstaterna. Detta uppnås genom att utöka direktivets tillämpningsområde till ytterligare sektorer och enheter. Direktivet syftar till att förplikta alla relevanta aktörer, både offentliga och privata, till en hög nivå av cybersäkerhet. Detta kommer att leda till en större harmonisering av säkerhetsstandarderna inom EU för att förbättra skyddet av kritiska tjänster och säkerställa större motståndskraft mot cyberattacker.

NIS 2-direktivet säkerställer att EU är teknologiskt och regleringsmässigt positionerat för att möta cybersäkerhetsutmaningarna, även i en alltmer digitaliserad värld. I en tid då hoten från cyberbrottslingar blir alltmer komplexa och aggressiva är det avgörande att säkerställa en hög säkerhetsnivå genom tydliga specifikationer och strikta krav. Detta gäller inte bara kritisk infrastruktur utan också ett brett spektrum av företag som tillhandahåller väsentliga tjänster för samhällslivet.

Varför är NIS 2 nödvändigt?

NIS 2-direktivet uppkom som ett svar på de ökande hoten mot cybersäkerheten. COVID-19 och digitaliseringen har ökat beroendet av digital infrastruktur och därmed också risken för cyberattacker. Hoten från ransomware och andra cyberattacker har nu nått en industriell nivå, vilket gör det nödvändigt att standardisera och förbättra cybersäkerhetsstandarderna inom EU. Attacker mot kritisk infrastruktur och företag kan ha förödande effekter och långtgående konsekvenser för samhället. Därför är anpassning och utökning av direktivet ett väsentligt steg för att bättre kunna möta dessa hot.

Ett annat centralt element i NIS 2-direktivet är förstärkningen av cybersäkerheten inom leveranskedjor. Detta innebär att inte bara kritisk infrastruktur måste säkras, utan även dess leverantörer och tjänsteleverantörer, för att minimera risker i hela leveranskedjan. Detta är av särskild betydelse, eftersom många företag arbetar nära med partners och leverantörer och därmed potentiella säkerhetshål kan uppstå som angripare kan utnyttja. En stabil och säker leveranskedja är avgörande för att minimera riskerna för alla inblandade aktörer och säkerställa att cybersäkerheten beaktas på ett omfattande sätt.

NIS 2-direktivet syftar också till att främja en kultur av cybersäkerhet inom hela EU. Detta innebär inte bara införandet av tekniska och organisatoriska åtgärder utan också att främja samarbete mellan EU:s medlemsstater. Upprättandet av nationella datoriserade incidenthanteringsteam (CSIRT) samt utnämningen av nationella myndigheter som ansvarar för cybersäkerhetsstrategi och krishantering bidrar till att skapa en stark säkerhetsinfrastruktur. CSIRT är ansvariga för snabb respons på incidenter och samordning med andra länder för att minimera effekterna av attacker och öka säkerheten.

NIS 2-direktivet kräver dessutom inrättandet av en samarbetsgrupp som stöder samarbete och informationsutbyte mellan medlemsstaterna. Denna grupp främjar strategiskt samarbete och säkerställer att EU snabbt kan anpassa sig till nya hot. Informationsutbyte mellan medlemsstaterna möjliggör snabbare identifiering och bekämpning av hot och hjälper till att skapa en gemensam säkerhetsgrund. Genom dessa åtgärder blir EU mer motståndskraftigt mot attacker och kan bättre reagera på cyberhot.

Väsentliga innovationer i NIS 2-direktivet

Utökat tillämpningsområde

Det ursprungliga NIS-direktivet täckte ett antal kritiska sektorer, inklusive hälsa, energi, transport och digital infrastruktur. NIS 2-direktivet utökar detta tillämpningsområde till 18 sektorer, inklusive offentlig förvaltning, forskning, rymden och livsmedelskedjan. Denna utökning är nödvändig eftersom många av de sektorer som idag anses kritiska tidigare inte var tillräckligt täckta av lagstiftningen. Det utökade tillämpningsområdet säkerställer att en mängd viktiga infrastrukturer skyddas, och därmed stärks den europeiska samhällets motståndskraft.

Nyligen omfattade sektorer inkluderar också områden som avfallshantering, rymden, livsmedelskedjan och leverantörer av offentliga posttjänster. Dessa sektorer är av avgörande betydelse för det dagliga livet och medborgarnas allmänna välbefinnande. Utökningen av tillämpningsområdet säkerställer att inte bara klassiska kritiska infrastrukturer, utan även andra tjänster som är viktiga för det offentliga livet, skyddas. Detta är särskilt viktigt för att säkerställa att cybersäkerhetsåtgärderna är så omfattande som möjligt och täcker alla potentiella attackpunkter.

En annan viktig aspekt av NIS 2-direktivet är åtskillnaden mellan “väsentliga” och “viktiga” enheter. Väsentliga enheter är företag vars tjänster är av central betydelse för samhällslivet och vars avbrott kan få allvarliga konsekvenser. Viktiga enheter är också av stor betydelse, men de potentiella konsekvenserna av ett avbrott är mindre långtgående. Denna åtskillnad gör det möjligt att fördela resurserna specifikt där de behövs som mest och att tillämpa de högsta säkerhetskraven på de mest sårbara områdena.

Nya cybersäkerhetskrav

NIS 2-direktivet föreskriver ett antal nya krav, inklusive:

1. Riskhanteringsåtgärder: Man måste vidta lämpliga tekniska, organisatoriska och operativa åtgärder för att kontrollera risker för nätverk och informationssystem. Dessa åtgärder omfattar riskanalys, implementering av säkerhetspolicyer samt säkerställande av säkerhetskopior och krishantering. Regelbundna sårbarhetsanalyser och penetrationstester är också obligatoriska för att säkerställa att potentiella attackpunkter kan identifieras och åtgärdas tidigt.
2. Rapporteringsskyldigheter: Vid incidenter måste en första rapport lämnas till de nationella myndigheterna inom 24 timmar, följt av ytterligare uppdateringar inom 72 timmar. Målet är att snabbare identifiera hot och främja EU-omfattande samarbete vid incidenthantering. Företag måste säkerställa att all säkerhetsrelevant information registreras och rapporteras i detalj så att de ansvariga myndigheterna har en omfattande lägesbild.
3. Ledningsansvar: Ledningen hålls direkt ansvarig för efterlevnaden av NIS 2-kraven. Överträdelser kan resultera i höga böter eller, i extrema fall, till och med ett tillfälligt förbud att utöva ledningsuppgifter. Detta är avsett att säkerställa att företagsledningen tar cybersäkerhet på allvar och proaktivt stöder lämpliga åtgärder. Ledningens personliga ansvar fungerar som ett incitament för att säkerställa att nödvändiga säkerhetsåtgärder inte bara planeras utan också faktiskt genomförs.
4. Certifiering och Audit: Efterlevnad av kraven måste påvisas genom regelbundna revisioner eller säkerhetsrevisioner. Även om explicit certifiering inte föreskrivs, kan det krävas enligt nationell lagstiftning. Revisioner är ett viktigt instrument för att granska och, vid behov, anpassa genomförandet av cybersäkerhetsåtgärder. Det rekommenderas att använda säkerhetsstandarder som ISO/IEC 27001 för att säkerställa att cybersäkerhetsåtgärderna överensstämmer med internationellt erkänd bästa praxis.

Sanktioner vid bristande efterlevnad

NIS 2-direktivet föreskriver höga sanktioner om kraven inte uppfylls. För “väsentliga enheter” är böter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen förutsett, beroende på vilket belopp som är högst. För “viktiga enheter” är böter på upp till 7 miljoner euro eller 1,4 % av årsomsättningen möjliga. Dessa höga sanktioner är utformade för att tvinga fram efterlevnad av säkerhetskraven och säkerställa att cybersäkerhet betraktas som en prioritet. Utöver ekonomiska sanktioner kan även personligt ansvar och rättsliga konsekvenser för företagsledningen uppstå, särskilt vid allvarliga överträdelser.

Hur Sophos hjälper till med NIS 2-efterlevnad

Sophos erbjuder en mängd lösningar som stöder efterlevnad av NIS 2-direktivet. Dessa inkluderar bland annat:

• Sophos Phish Threat: Ett verktyg för medarbetarutbildning som genomför simulerade nätfiskeattacker för att öka säkerheten på arbetsplatsen. Genom kontinuerlig utbildning kan medarbetare känna igen nätfiskeattacker och proaktivt skydda sig mot dem, vilket är en av de mest effektiva åtgärderna mot cyberhot. Blogginlägg om Sophos Phish Threat
• Sophos Managed Detection and Response (MDR): 24/7 övervakning av säkerhetsmiljön som upptäcker och reagerar på incidenter innan de kan få en negativ inverkan. Sophos MDR kombinerar avancerad teknik med mänsklig expertis för att säkerställa att hot identifieras och neutraliseras i tid.
• Sophos Firewall: Ger omfattande nätverksskydd anpassat till kraven i NIS 2-direktivet och möjliggör tidig upptäckt och stopp av hot. Sophos Firewall erbjuder djupa insikter i nätverkstrafiken och möjliggör exakt kontroll av dataflödet för att isolera potentiella hot.
• Sophos Cloud Optix: Ett verktyg som kontinuerligt övervakar molnmiljöer och säkerställer att konfigurationsstandarder uppfylls för att förhindra manipulation. Med Sophos Cloud Optix kan företag säkerställa att deras molnresurser alltid följer bästa säkerhetspraxis och att potentiella risker identifieras i god tid.
• Sophos XDR (Extended Detection and Response): Gör det möjligt för analytiker att upptäcka, analysera och reagera på hot över alla stora attackytor. Sophos XDR samlar in och korrelerar data från olika källor och ger en omfattande bild av ett företags säkerhetsläge, vilket möjliggör snabb respons på incidenter.

Sophos lösningar täcker många av de krav som anges i NIS 2-direktivet och hjälper till att vara optimalt förberedd för potentiella hot. Med dessa omfattande skyddslösningar kan man säkerställa att de nödvändiga försiktighetsåtgärderna för efterlevnad av direktivet implementeras och att företagets övergripande säkerhetsläge stärks.

Mer information finns på Sophos NIS-2 webbplats.

Vad måste göras?

För att säkerställa att man uppfyller kraven i NIS 2-direktivet bör flera nyckelåtgärder vidtas:

1. Analys av krav: Man måste säkerställa att det egna företaget faller inom kategorin “väsentlig” eller “viktig” enhet och bedöma vilka procedurer som är nödvändiga för att uppfylla kraven i NIS 2-direktivet. Denna analys bör vara grundlig och systematisk för att identifiera sårbarheter och initiera nödvändiga åtgärder för att åtgärda dem.
2. Implementering av strategier: De nödvändiga tekniska, organisatoriska och operativa stegen måste implementeras. Dessa inkluderar att genomföra riskanalyser, etablera säkerhetspolicyer samt implementera krishantering och regelbunden utbildning av medarbetare. Medarbetarutbildning är en viktig del av säkerhetsstrategin, eftersom den mänskliga komponenten ofta utgör den största sårbarheten.
3. Användning av lämpliga verktyg: Man bör använda lämpliga IT-säkerhetslösningar, såsom de från Sophos, för att uppfylla kraven i direktivet och säkerställa att företaget är skyddat. De verktyg som används bör regelbundet uppdateras och deras effektivitet bör granskas för att säkerställa att de kan motstå de senaste hoten.
4. Regelbunden granskning och anpassning: Cybersäkerhetslandskapet förändras ständigt, därför är det viktigt att genomföra periodiska granskningar av säkerhetsåtgärderna och anpassa dem vid behov. Företag bör säkerställa att de är uppdaterade med den senaste tekniken och kontinuerligt förbättra sina säkerhetsstrategier för att alltid ligga ett steg före nya hot.

Sista ord

NIS 2-direktivet utgör ett viktigt steg mot att förbättra cybersäkerheten i Europa. Man bör nu vidta nödvändiga försiktighetsåtgärder för att säkerställa att de nya kraven uppfylls och skyddet av nätverk och system förbättras. Detta är särskilt viktigt, eftersom hoten i det digitala rummet ständigt ökar och endast kan bekämpas effektivt genom ett gemensamt och samordnat tillvägagångssätt.

Med det omfattande stödet från lösningar som de från Sophos kan man bemästra denna utmaning och säkerställa att både direktivets krav uppfylls och att företagets övergripande säkerhetsläge stärks. Implementeringen av NIS 2-direktivet är en möjlighet att granska och förbättra sin egen säkerhetsarkitektur, för att inte bara uppfylla de lagliga kraven utan också göra företaget som helhet mer motståndskraftigt mot cyberhot.