Vad EU:s NIS 2-direktiv betyder för företag

EU:s NIS 2-direktiv ska lyfta cybersäkerheten i Europa till en ny nivå. Det skärper säkerhetskraven för företag och utökar tillämpningsområdet till fler sektorer. Därmed reagerar EU på de ökade riskerna från cyberattacker och främjar en starkare harmonisering av säkerhetskraven inom medlemsstaterna.

Introduktion till NIS 2-direktivet

EU-direktivet om nätverks- och informationssäkerhet, bättre känt som NIS 2, är efterföljaren till det första NIS-direktivet från 2016. Det togs fram för att möta de växande cybersäkerhetshoten inom EU, som har förstärkts särskilt av ökad digitalisering och COVID-19-pandemin. Det nya NIS 2-direktivet antogs den 16 januari 2023, och medlemsstaterna hade fram till den 17 oktober 2024 på sig att införliva det i nationell lagstiftning.

Huvudmålen med NIS 2-direktivet är att höja säkerhetskraven i EU, förbättra rapporteringen av säkerhetsincidenter och harmonisera sanktionsreglerna mellan medlemsstaterna. Detta sker genom att direktivets tillämpningsområde utökas till fler sektorer och organisationer. Direktivet syftar till att ålägga alla relevanta aktörer, både offentliga och privata, en hög cybersäkerhetsnivå. Därmed skapas en starkare harmonisering av säkerhetskraven inom EU, med bättre skydd för kritiska tjänster och högre motståndskraft mot cyberattacker.

NIS 2-direktivet ska säkerställa att EU, även i en allt mer digitaliserad värld, är tekniskt och regulatoriskt rustat för cybersäkerhetens utmaningar. I en tid där hoten från cyberkriminella blir allt mer komplexa och aggressiva är det avgörande att säkerställa en hög säkerhetsnivå genom tydliga krav och strikta åtaganden. Det gäller inte bara kritisk infrastruktur, utan också ett brett spektrum av företag som tillhandahåller samhällsviktiga tjänster.

Varför är NIS 2 nödvändigt?

NIS 2-direktivet uppstod som ett svar på de ökande cybersäkerhetshoten. COVID-19 och digitaliseringen har ökat beroendet av digital infrastruktur och därmed också risken för cyberattacker. Hoten från ransomware och andra cyberangrepp har nått en industriell nivå, vilket gör det nödvändigt att harmonisera och förbättra cybersäkerhetsstandarderna inom EU. Attacker mot kritisk infrastruktur och företag kan få förödande effekter och långtgående konsekvenser för samhället. Därför är anpassningen och utvidgningen av direktivet ett viktigt steg för att bättre kunna möta dessa hot.

Ett annat centralt element i NIS 2-direktivet är att stärka cybersäkerheten i leveranskedjor. Det innebär att inte bara kritisk infrastruktur behöver säkras, utan även leverantörer och tjänsteleverantörer, för att minimera risker i hela leveranskedjan. Detta är särskilt viktigt eftersom många företag arbetar nära partner och leverantörer, vilket kan skapa potentiella säkerhetsluckor som angripare kan utnyttja. En stabil och säker leveranskedja är avgörande för att minimera riskerna för alla inblandade aktörer och säkerställa att cybersäkerheten ses som en helhet.

NIS 2-direktivet har också som mål att främja en cybersäkerhetskultur i hela EU. Det handlar inte bara om tekniska och organisatoriska åtgärder, utan också om bättre samarbete mellan EU:s medlemsstater. Inrättandet av nationella Computer Security Incident Response Teams (CSIRTs) och utnämningen av nationella myndigheter med ansvar för cybersäkerhetsstrategi och krishantering bidrar till en stark säkerhetsinfrastruktur. CSIRTs ansvarar för snabb respons på incidenter och samordning med andra länder för att minimera effekterna av angrepp och höja säkerheten.

NIS 2-direktivet kräver dessutom en samarbetsgrupp som stöder samarbete och informationsutbyte mellan medlemsstaterna. Gruppen främjar strategiskt samarbete och bidrar till att EU snabbt kan anpassa sig till nya hot. Informationsutbyte mellan medlemsstaterna gör det möjligt att identifiera och bekämpa hot snabbare och hjälper till att skapa en gemensam säkerhetsbas. Genom dessa åtgärder blir EU mer motståndskraftigt mot angrepp och bättre rustat att reagera på cyberhot.

Viktiga nyheter i NIS 2-direktivet

Utökat tillämpningsområde

Det ursprungliga NIS-direktivet omfattade ett antal kritiska sektorer, bland annat hälsa, energi, transport och digital infrastruktur. NIS 2-direktivet utökar tillämpningsområdet till 18 sektorer, inklusive offentlig förvaltning, forskning, rymdverksamhet och livsmedelskedjan. Utvidgningen är nödvändig eftersom många sektorer som i dag betraktas som kritiska tidigare inte täcktes tillräckligt av lagstiftningen. Det bredare tillämpningsområdet säkerställer att många viktiga infrastrukturer skyddas och stärker därmed det europeiska samhällets resiliens.

Till de nytillkomna sektorerna hör även områden som avfallshantering, rymdverksamhet, livsmedelskedjan och leverantörer av offentliga posttjänster. Dessa sektorer är avgörande för vardagslivet och medborgarnas allmänna välbefinnande. Utvidgningen säkerställer att inte bara klassisk kritisk infrastruktur skyddas, utan också andra tjänster som är viktiga för det offentliga livet. Det är särskilt viktigt för att cybersäkerhetsåtgärder ska få så bred täckning som möjligt och omfatta alla potentiella angreppspunkter.

En annan viktig aspekt av NIS 2-direktivet är åtskillnaden mellan “väsentliga” och “viktiga” enheter. Väsentliga enheter är företag vars tjänster är centrala för samhällslivet och vars bortfall kan få allvarliga konsekvenser. Viktiga enheter har också stor betydelse, men konsekvenserna av ett bortfall är mindre långtgående. Denna åtskillnad gör det möjligt att använda resurser där de behövs mest och att tillämpa de högsta säkerhetskraven på de mest utsatta områdena.

Nya cybersäkerhetskrav

NIS 2-direktivet föreskriver ett antal nya krav, inklusive:

Riskhanteringsåtgärder: Man måste vidta lämpliga tekniska, organisatoriska och operativa åtgärder för att kontrollera risker för nätverk och informationssystem. Åtgärderna omfattar riskanalys, införande av säkerhetspolicyer samt säkerställande av backup och krishantering. Regelbundna sårbarhetsanalyser och penetrationstester krävs också för att potentiella angreppspunkter ska kunna upptäckas och åtgärdas tidigt.
Rapporteringsskyldigheter: Vid incidenter måste en första rapport lämnas till nationella myndigheter inom 24 timmar, följt av ytterligare uppdateringar inom 72 timmar. Målet är att identifiera hot snabbare och främja EU-omfattande samarbete vid hantering av incidenter. Företag måste säkerställa att all säkerhetsrelevant information registreras och rapporteras i detalj, så att ansvariga myndigheter får en heltäckande lägesbild.
Ledningsansvar: Ledningen hålls direkt ansvarig för efterlevnaden av NIS 2-kraven. Överträdelser kan resultera i höga böter eller, i extrema fall, till och med ett tillfälligt förbud att utöva ledningsuppgifter. Detta är avsett att säkerställa att företagsledningen tar cybersäkerhet på allvar och proaktivt stöder lämpliga åtgärder. Ledningens personliga ansvar fungerar som ett incitament för att säkerställa att nödvändiga säkerhetsåtgärder inte bara planeras utan också faktiskt genomförs.
Certifiering och audit: Efterlevnaden av kraven måste kunna styrkas genom regelbundna audits eller säkerhetsrevisioner. En uttrycklig certifiering föreskrivs inte, men kan krävas genom nationell lagstiftning. Audits är ett viktigt instrument för att granska och vid behov anpassa genomförandet av cybersäkerhetsåtgärder. Det rekommenderas att använda säkerhetsstandarder som ISO/IEC 27001 för att säkerställa att åtgärderna motsvarar internationellt erkänd best practice.

Sanktioner vid bristande efterlevnad

NIS 2-direktivet föreskriver höga sanktioner om kraven inte uppfylls. För “väsentliga enheter” kan böter uppgå till 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket belopp som är högst. För “viktiga enheter” är böter på upp till 7 miljoner euro eller 1,4 % av årsomsättningen möjliga. De höga sanktionerna ska driva efterlevnad av säkerhetskraven och säkerställa att cybersäkerhet behandlas som en prioritet. Utöver ekonomiska sanktioner kan även personligt ansvar och rättsliga konsekvenser för företagsledningen uppstå, särskilt vid allvarliga överträdelser.

Hur Sophos hjälper till med NIS 2-efterlevnad

Sophos erbjuder flera lösningar som stödjer efterlevnaden av NIS 2-direktivet. De omfattar bland annat:

Sophos Phish Threat: Ett verktyg för medarbetarutbildning som genomför simulerade Phishing-angrepp för att höja säkerheten på arbetsplatsen. Genom kontinuerlig utbildning kan medarbetare känna igen Phishing-angrepp och proaktivt skydda sig mot dem, vilket är en av de mest effektiva åtgärderna mot cyberhot. Blogginlägg om Sophos Phish Threat
Sophos Managed Detection and Response (MDR): 24/7 övervakning av säkerhetsmiljön som upptäcker och reagerar på incidenter innan de kan få en negativ inverkan. Sophos MDR kombinerar avancerad teknik med mänsklig expertis för att säkerställa att hot identifieras och neutraliseras i tid.
Sophos Firewall: Ger omfattande nätverksskydd som är anpassat till kraven i NIS 2-direktivet och gör det möjligt att upptäcka och stoppa hot tidigt. Sophos Firewall ger djup insyn i nätverkstrafiken och möjliggör exakt styrning av dataflöden för att isolera potentiella hot.
Sophos Cloud Optix: Ett verktyg som kontinuerligt övervakar molnmiljöer och säkerställer att konfigurationsstandarder uppfylls för att förhindra manipulation. Med Sophos Cloud Optix kan företag säkerställa att deras molnresurser alltid följer bästa säkerhetspraxis och att potentiella risker identifieras i god tid.
Sophos XDR (Extended Detection and Response): Gör det möjligt för analytiker att upptäcka, analysera och reagera på hot över alla viktiga angreppsytor. Sophos XDR samlar in och korrelerar data från olika källor och ger en heltäckande bild av företagets säkerhetsläge, vilket möjliggör snabb respons på incidenter.

Sophos-lösningarna täcker många av de krav som anges i NIS 2-direktivet och hjälper företag att vara så väl förberedda som möjligt på potentiella hot. Med dessa omfattande skyddslösningar kan man säkerställa att nödvändiga åtgärder för efterlevnad av direktivet genomförs och att företagets övergripande säkerhetsläge stärks.

Mer information finns på Sophos NIS-2-webbplats.

Vad måste göras?

För att säkerställa att man uppfyller kraven i NIS 2-direktivet bör flera nyckelåtgärder vidtas:

Analys av kraven: Man måste säkerställa att det egna företaget faller inom kategorin “väsentlig” eller “viktig” enhet och bedöma vilka processer som krävs för att uppfylla kraven i NIS 2-direktivet. Analysen bör göras grundligt och systematiskt för att identifiera sårbarheter och initiera nödvändiga åtgärder.
Implementering av strategier: De nödvändiga tekniska, organisatoriska och operativa stegen måste genomföras. Det omfattar riskanalyser, etablering av säkerhetspolicyer, införande av krishantering och regelbunden utbildning av medarbetare. Medarbetarutbildning är en viktig del av säkerhetsstrategin eftersom den mänskliga faktorn ofta är den största sårbarheten.
Användning av lämpliga verktyg: Man bör använda lämpliga IT-säkerhetslösningar, till exempel från Sophos, för att uppfylla direktivets krav och säkerställa att företaget är skyddat. Verktygen bör uppdateras regelbundet och deras effektivitet kontrolleras för att säkerställa att de står emot de senaste hoten.
Regelbunden granskning och anpassning: Cybersäkerhetslandskapet förändras ständigt. Därför är det viktigt att regelbundet granska säkerhetsåtgärderna och anpassa dem vid behov. Företag bör säkerställa att de håller sig uppdaterade med den senaste tekniken och kontinuerligt förbättrar sina säkerhetsstrategier för att ligga steget före nya hot.

Sista ord

NIS 2-direktivet är ett viktigt steg för att förbättra cybersäkerheten i Europa. Man bör nu vidta de nödvändiga åtgärderna för att säkerställa att de nya kraven uppfylls och att skyddet av nätverk och system förbättras. Det är särskilt viktigt eftersom hoten i det digitala rummet fortsätter att öka och endast kan bekämpas effektivt genom ett gemensamt och samordnat arbetssätt.

Med omfattande stöd från lösningar som Sophos kan man hantera denna utmaning och säkerställa både att direktivets krav uppfylls och att företagets säkerhet stärks. Genomförandet av NIS 2-direktivet är en möjlighet att granska och förbättra den egna säkerhetsarkitekturen, inte bara för att uppfylla lagkraven utan också för att göra företaget som helhet mer motståndskraftigt mot cyberhot.