Nätverks- och informationssystem (NIS), ett direktiv från Europeiska unionen (EU), antogs i juli 2016. Detta direktiv föreslogs av Europeiska kommissionen (EU) och syftade till att höja nivån på cybersäkerheten i EU:s medlemsstater. Det fokuserade på att stärka samarbetet mellan medlemsstaterna och organisationerna samtidigt som det anpassades till cybersäkerhetsåtgärder. Dess tillämpningsområde består av två kategorier: operatörer av samhällsviktiga tjänster (OES) och vissa leverantörer av digitala tjänster (DSP).

På grund av bristande ansvarsskyldighet och beroende av enskilda medlemsstaters val tillkännagav dock Europeiska kommissionen sin handlingsplan för att ersätta NIS-direktivet med ett säkrare ramverk, tillsammans med införandet av strängare krav.

Därför ersattes direktiv (EU) 2016/1148 (NIS 1) den 16 januari 2023 av direktiv (EU) 2022/2555, känt som NIS 2.

Viktiga ändringar i NIS2-direktivet

”NIS2”, den nyare versionen av NIS, fastställer strängare cybersäkerhetskrav för de olika organisationerna i EU:s medlemsstater, med en deadline den 17 oktober 2024. Syftet är att stärka cybersäkerheten och motståndskraften för kritisk infrastruktur och leverantörer av digitala tjänster i EU.

De viktigaste förändringarna som infördes i NIS2-direktivet för att skapa en högre nivå av cybersäkerhet i det ständigt föränderliga tekniska området är följande:

1. Utvidgning av tillämpningsområde

NIS2 utökar sitt omfattning från sju sektorer till arton baserat på deras inverkan på ekonomin och samhället, tillsammans med deras sammankoppling och deras digitaliseringsnivå.

Omfattningen omfattar alla medelstora och stora organisationer inom de valda sektorerna baserat på organisationsstorlek vad gäller antal anställda och genererade intäkter.

2. Nya kategoriseringar

NIS2 tar bort skillnaden i NIS mellan operatörer av viktiga tjänster (OES) och vissa leverantörer av digitala tjänster (DSP). Istället klassificeras organisationer nu baserat på viktighet och är därför indelade i två kategorier, nämligen: "väsentlig" och "viktig".

Senast den 17 april 2025 måste dessa viktiga enheter vara registrerade. EU:s medlemsstater måste hitta dem och göra det möjligt för dem att själva registrera sig. Detta innebär att enheterna måste ta reda på om de omfattas av det tillämpningsområde som anges i NIS2-direktivet.

3. Införande av ansvarshantering

NIS2 introducerade konceptet ansvarighet och anger att ledningen för de berörda organisationerna kommer att vara ansvarig för den säkerhetsnivå de har. Detta inkluderar genomförande av riskbedömningar, upprättande av säkerhetspolicyer, informationssystemsäkerhet, incidenthantering, affärskontinuitet och säkerhet i leveranskedjan. Därför är medlemmarna i en organisations ledningsgrupp ansvariga för att följa kraven för hantering av cybersäkerhetsrisker.

4. Införande av böter

NIS2-direktivet ger myndigheterna befogenhet att utdöma böter för organisationer som inte följer NIS2-direktivet. Detaljerna i de utdömda böterna är följande:

Entitetstyp	Maximal böter (€)	Maximal böter (% av den globala årliga omsättningen)
Viktiga enheter	Minst 10 000 000 euro	Minst 2%
Viktiga enheter	Minst 10 000 000 euro	Minst 1.4%

5. Incidentrapportering

NIS2 inför strängare krav för processen för incidentrapportering, inklusive hur detaljerade rapporterna ska vara. Organisationer som upplever en cybersäkerhetsincident måste inte bara rapportera den till det lokala teamet för respons på datorsäkerhetsincidenter (CSIRT) utan också meddela kunderna om de påverkas av den.

Vid "betydande incidenter" måste enheten underrätta kunderna i etapper, inklusive en "tidig varning" inom 24 timmar efter att incidenten upptäckts.

6. Skapandet av plattformen för incidenthanteringsteamet för datorsäkerhet (CSIRT)

Denna plattform utvecklades för att förbättra samarbetet mellan EU:s medlemsstater när de hanterar cybersäkerhetsincidenter.

Den europeiska databasen för sårbarhetsrapportering skapades av Europeiska unionens cybersäkerhetsbyrå (ENISA), som fungerar som en central database för att dela information om identifierade cybersäkerhetssårbarheter, och därigenom varna medlemsstaterna för att förbättra sin säkerhetsställning i enlighet därmed.

7. Förbättra cybersäkerheten i leveranskedjor

Denna viktiga förändring påverkar många leverantörer som inte omfattas av NIS 2-direktivet men som tillhandahåller tjänster till en enhet som omfattas av det. Den anger att enheterna är ensamma ansvariga för nivån på cybersäkerhet i sin leveranskedja, inklusive hantering av cybersäkerhetsrisker.

NIS1 vs. NIS2: Vad är skillnaden?

Kategori	1	2
Tillämpning	Inga tydligt definierade böter eller strikta verkställighetsmekanismer.	Inför ekonomiska påföljder: Upp till 10 miljoner euro eller 2 % av den årliga globala intäkten för viktiga enheter. Upp till 7 miljoner euro eller 1.4 % för viktiga enheter.
Samarbete	Inkluderade en samarbetsgrupp och ett nätverk av CSIRT:er (Computer Security Incident Response Teams).	Stärker CSIRT-enheternas roll genom att göra dem mer proaktiva i incidenthantering och genom att erbjuda vägledning och feedback. Förbättrar samarbetet genom att utveckla sårbarhetspolicyer och sektorspecifika riskriktlinjer samt förbättrar delning av hotinformation.
Rapportering	Saknade strikta tidsfrister för rapportering av säkerhetsincidenter. Rapporteringsformat och -förfaranden varierade.	Fastställer tydliga deadlines för säkerhetsvarningar, meddelanden och rapporter. Standardiserar rapporteringsrutiner för att säkerställa enhetlighet mellan enheter.
Ansvarighet	Tilldelade inte uttryckligen ansvaret för cybersäkerhetsrisker till den högsta ledningen. Försörjningskedjans risker blev inte direkt adresserade.	Kräver att högre ledning (t.ex. styrelseledamöter) övervakar riskhanteringen för cybersäkerhet och säkerställer ansvarsskyldighet på högsta nivå. NIS2 håller organisationerna ansvariga för risker som uppstår från tredjepartsleverantörer.

Vilka är de kryptografiska kraven i NIS 2?

NIS 2-direktivet säkerställer att de krav som ställs på organisationerna alltid är rättvisa och att det inte förekommer några oegentligheter. Därför visar kraven på större organisationer deras roll i samhället, och mindre organisationer påverkas inte oproportionerligt mycket av det.

Därför föreskriver NIS2 att de olika väsentliga och viktiga enheterna måste uppfylla minimikraven. I likhet med de ovan nämnda fyra fokusområdena i detta direktiv kommer följande åtgärder att ge dig en översikt över minimikravområdena i detta direktiv. Dessa inkluderar:

Riskbedömningar och säkerhetspolicyer för informationssystem.
Riktlinjer och rutiner för att utvärdera säkerhetsåtgärdernas effektivitet.
Riktlinjer och procedurer för användning av kryptografi och, i förekommande fall, kryptering.
En plan för hantering av säkerhetsincidenter.
Säkerhet kring upphandling, utveckling och drift av system. Detta innebär att ha policyer för hantering och rapportering av sårbarheter.
Cybersäkerhetsutbildning och övning i grundläggande datorhygien.
Säkerhetsrutiner för anställda med tillgång till känsliga eller viktiga uppgifter, inklusive policyer för dataåtkomst. Berörda organisationer måste också ha en översikt över alla relevanta tillgångar och säkerställa att de används och hanteras korrekt.
En plan för att hantera verksamheten under och efter en säkerhetsincident. Det innebär att säkerhetskopior måste vara uppdaterade. Det måste också finnas en plan för att säkerställa åtkomst till IT-system och deras operativa funktioner under och efter en säkerhetsincident.
Användning av flerfaktorsautentisering , kontinuerliga autentiseringslösningar, röst-, video- och textkryptering samt krypterad intern nödkommunikation när så är lämpligt.
Säkerhet kring leveranskedjor och relationen mellan företaget och direkta leverantörer. Företag måste välja säkerhetsåtgärder som passar sårbarheterna hos varje direkt leverantör. Företag måste sedan bedöma den övergripande säkerhetsnivån hos alla leverantörer.

Här är de viktigaste artiklarna som nämner krypteringsstandarder och cybersäkerhetsåtgärder enligt NIS2-direktivet.

De viktigaste aspekterna av NIS2: Artikel 20, 21 och 23

Artiklarna 20, 21 och 23 fungerar som grundpelare i NIS2-direktivet och täcker områdena styrning, riskhantering respektive incidentrapportering. En organisation som uppfyller kraven i dessa artiklar har förbättrat sin motståndskraft inom cybersäkerhet. Låt oss utforska dessa artiklar i detalj.

Artikel 20

Artikel 20 i NIS 2-direktivet fokuserar på styrningsaspekten hos medlemsstaternas ledningsorgan. Den syftar till att säkerställa att ledningen för både väsentliga och viktiga enheter tillämpar cybersäkerhetsåtgärder. Den anger att de måste godkänna och övervaka cybersäkerhetsåtgärder så att deras organisationer uppfyller kraven. Och om de inte gör det kommer de att hållas ansvariga.

Dessutom måste följande punkter noteras för att säkerställa att era organisationer uppfyller kraven i den här artikeln.

Ledningsgrupper måste genomgå utbildning i cybersäkerhet för att få kunskap om och förstå cyberrisker och de bästa metoder de måste följa för att skapa en säker infrastruktur.
Anställda som arbetar i olika viktiga och viktiga enheter måste också ges specialiserad utbildning för att kunna identifiera risker och bedöma riskhanteringsmetoder för cybersäkerhet.

Ansvaret för offentliga tjänstemän och statligt anställda kommer dock att avgöras av varje lands nationella lagar snarare än denna specifika förordning. För att förenkla kommer ledningsorgan för privata, viktiga och viktiga enheter att hållas ansvariga för cybersäkerhetsbrister, men reglerna för offentliga institutioner som myndigheter skiljer sig åt.

Artikel 21

Denna artikel fokuserar på de riskhanteringsmetoder för cybersäkerhet som ska följas av både viktiga och väsentliga enheter. Den anger att organisationer måste implementera starka säkerhetsåtgärder för att skydda sin infrastruktur från cyberhot, från nätverk till informationssystem. Dessa åtgärder måste vara i enlighet med den senaste tekniken, relevanta standarder och den risknivå som organisationen står inför. Dessutom måste olika faktorer beaktas, såsom organisationens storlek, exponering för risker och den inverkan de kan ha.

Artikeln beskriver också specifika metoder för att uppnå en högre säkerhetsnivå i hela organisationen. Dessa inkluderar policyer för riskincidenter, hantering av säkerhetskopiering, planer för affärskontinuitet och utbildning i cybersäkerhet . Dessutom måste enheter bedöma sina leveranskedjor för att identifiera sårbarheter, inklusive leverantörernas cybersäkerhetspraxis och säkra utvecklingsprocedurer, och säkerställa att de följer starka cybersäkerhetspraxis.

Artikel 21 har föreskrivit följande åtgärder för att organisationen ska följa NIS 2-direktivet. Dessa är följande:

Policyer för riskanalys och informationssystemsäkerhet.
Hantering av incidenter.
Verksamhetskontinuitet, såsom säkerhetskopieringshantering, katastrofåterställning och krishantering.
Säkerhet i leveranskedjan, inklusive säkerhetsrelaterade aspekter som rör relationerna mellan varje enhet och dess direkta leverantörer eller tjänsteleverantörer.
Säkerhet i anskaffning, utveckling och underhåll av nätverks- och informationssystem, inklusive hantering och avslöjande av sårbarheter.
Riktlinjer och rutiner för att bedöma effektiviteten av åtgärder för hantering av cybersäkerhetsrisker.
Grundläggande cyberhygienrutiner och cybersäkerhetsutbildning.
Riktlinjer och rutiner för användning av kryptografi och, i förekommande fall, kryptering.
Personalsäkerhet, policyer för åtkomstkontroll och tillgångshantering.
Användning av flerfaktorsautentisering eller kontinuerlig autentisering och säkrade system för röst-, video-, text- och nödkommunikation inom enheten, beroende på vad som är lämpligt.

Artikel 23

Artikel 23 i NIS2-direktivet behandlar rapporteringsskyldigheter på ett detaljerat sätt. Den anger att medlemsstaterna är ansvariga för att rapportera till IT-säkerhetsincidenthanteringsgrupperna (CSIRT) om cybersäkerhetsincidenter som kan påverka organisationens tjänster eller orsaka ekonomisk skada eller skada för anseendet.

För att uppfylla kraven i artikel 23 bör organisationer beakta följande viktiga aspekter:

En tidig varning måste ges inom 24 timmar efter händelsen för att sprida medvetenhet och meddela inom 72 timmar. Därefter måste en detaljerad och slutgiltig rapport lämnas in inom en månad, inklusive en beskrivning av händelsen som inträffade, dess allvarlighetsgrad, konsekvenser etc.
Om en enda incident drabbar flera länder måste informationen delas effektivt mellan dem för förbättrad samordning.
Myndigheter som hanterar dessa rapporter måste också reagera snabbt och ge nödvändig feedback och vägledning.
Var tredje månad sparar och analyserar EU:s cybersäkerhetsbyrå Enisa incidentdata för att förbättra cybersäkerhetspolicyn.

De viktigaste fokusområdena för NIS2-efterlevnaden

NIS 2-direktivet inkluderar tillägg av krav för de fyra nyckelområdena i din organisation, nämligen ledning, korrekt rapportering till myndigheterna, strategier för riskhantering och upprättande av planer för affärskontinuitet.

Låt oss utforska dem i detalj.

1. Förvaltning

Det är ensamt organisationens medlemmars ansvar att vara medvetna om de krav som fastställs i direktivet. Det anger att ledningen måste identifiera organisationens cyberrisker och åtgärda dem för att uppfylla kraven. Om de inte gör det kan det leda till påföljder för ledningen och till och med en tillfällig avstängning från ledningsroller.

2. Korrekt incidentrapportering

Detta krav anger att organisationer måste ha upprättade planer för att säkerställa att incidenter rapporteras direkt till berörda myndigheter.

En tidig varning, dvs. ”inom 24 timmar”, en varning som anger att en cybersäkerhetsincident har inträffat, måste rapporteras.
En första bedömning måste lämnas tillsammans med alla relevanta detaljer om händelsen inom 72 timmar.
En slutrapport ska lämnas till myndigheterna inom en månad, vilken beskriver alla detaljer om händelsen, dess orsak och de åtgärder som organisationen vidtagit för att mildra den. Denna rapport inkluderar även händelsens allvarlighetsgrad och konsekvenser samt vilken typ av hot som ledde till händelsen.

3. Strategier för riskhantering

Detta krav föreskriver implementering av tekniska, operativa och organisatoriska åtgärder för att hantera risker inom organisationens infrastruktur. Dessa inkluderar upprättande av policyer för riskanalys, förbättrad nätverkssäkerhet, incidenthantering, åtkomstkontroller, förbättrad säkerhet i leveranskedjan och policyer för användning av kryptografi . Det anger att cybersäkerhetsrisker bör hanteras baserat på vilken typ av risker man står inför, med hänsyn till faktorer som enhetens storlek, exponering för risker och potentiell allvarlighetsgrad av incidenten.

4. Upprättande av planer för verksamhetskontinuitet

Organisationer måste etablera strategier för att uppnå affärskontinuitet vid cyberincidenter. Dessa planer måste inkludera inrättandet av en incidenthanteringsgrupp, procedurer som ska följas vid nödsituationer och säkerhetskopior för systemåterställning.

Steg för att uppnå NIS2-efterlevnad

Efterlevnad handlar inte bara om att uppfylla kraven i direktivet, utan också om att stärka er motståndskraft mot växande och föränderliga cybersäkerhetshot. Därför uppfyller organisationer som anpassar sig till NIS 2 inte bara kraven utan förbättrar också sin övergripande säkerhetsställning.

För att förbereda sig för att uppnå NIS2-efterlevnad måste en organisation följa en stegvis metod. Denna metod består i stort sett av sex steg, vilka är följande:

1. Identifiera cybersäkerhetsrisker

Detta steg avser identifiering av olika cybersäkerhetsrisker i din organisations kritiska infrastruktur, vilket vanligtvis utförs av Chief Information Security Officer (CISO). NIS2-direktivet föreskriver att effektiva åtgärder ska införas för att minska risker och hantera dem, samt implementering av lämpliga procedurer, tekniker och system för att identifiera risker och minska dem i enlighet därmed.

2. Utvärdering av er säkerhetsställning

Utvärdering av säkerhetsställning avser processen att granska befintliga policyer och tekniker för att bedöma hur effektiva organisationens strategier är för att minska risker. Det inkluderar också att identifiera sårbarheter, följt av en djupgående analys för att förstå deras inverkan.

3. Skydda privilegierad åtkomst

De privilegierade användarna i din organisation är de främsta målen för obehörig åtkomst till känsliga uppgifter, vilket leder till dataintrång och till och med orsakar avbrott i tjänsten. För att förhindra detta rekommenderar NIS2 minimering av privilegierad åtkomst, implementering av åtkomstkontroller som kontinuerlig autentisering och underhåll av åtkomstloggar för att upptäcka hot och reagera effektivt på incidenter.

4. Stärk ditt försvar mot ransomware

För att stärka organisationens försvar mot ransomware måste anställda utbildas om nätfiskeattacker, och det måste finnas säkra etablerade processer för säkerhetskopiering av data. Detta inkluderar även att stärka slutpunkter genom åtkomstkontroller och nätverkssegmentering för att öka motståndskraften och säkerställa att organisationen kan återhämta sig snabbt från olika cybersäkerhetsattacker.

5. Anta en nollförtroendestrategi

Traditionella säkerhetsåtgärder är ineffektiva för molntjänster och hybridmodeller. Därför är det ett måste att anta en nolltruststrategi, eftersom den antar att risker kan komma från alla användare och enheter. För detta måste autentiseringsprocesser implementeras för varje enhet, såsom användaridentitet, enhetstyp, plats och åtkomstfrekvens. Detta säkerställer att säkerheten för alla system och känsliga data i hela organisationen förbättras.

6. Inspektera mjukvaruleveranskedjan

Detta steg säkerställer att hela programvaruutvecklingens livscykel, från kodskapande till driftsättning och distribution, inspekteras och säkras. Detta inkluderar tillämpning av strikt identitets- och åtkomsthantering för säker källkod och genomförande av automatiserade säkerhetsprocedurer.

NIS2:s inverkan på företag

NIS2-direktivet fastställer strängare säkerhetskrav som påverkar företag och industrier i hela EU. För att uppfylla kraven i detta direktiv måste organisationer förbättra sin övergripande säkerhetsställning, införa riskhanteringsstrategier och etablera smidiga mekanismer för incidentrapportering. Följande är riskerna med bristande efterlevnad och fördelarna med att följa den.

Risker för bristande efterlevnad

Underlåtenhet att uppfylla NIS 2-kraven leder till ineffektiv cybermotståndskraft, vilket ökar risken för cyberincidenter i din organisation. Utan effektiva säkerhetsåtgärder på plats ökar risken för dataintrång, ransomware-attacker och dataläckor. Detta skulle resultera i att organisationer står inför höga återställningskostnader, böter och juridiska komplikationer.

Dessutom kan denna hantering av ekonomiska omkostnader leda till intäktsbortfall och påverka organisationens rykte. Dessutom kan säkerhetsintrång leda till driftsavbrott, vilket leder till minskad produktivitet och påverkar dess långsiktiga framgång.

Fördelar med efterlevnad

En organisation som följer NIS 2-direktivet etablerar operativ stabilitet och säkerställer skyddet av kritisk data i hela sin infrastruktur. Genom att implementera denna proaktiva säkerhetsåtgärd kan du minska riskerna för cyberhot som dataintrång och ransomware-attacker.

Att följa NIS2 gör det möjligt för en organisation att vara digitalt säker och säkerställa att dess infrastruktur, leveranskedjor och kritiska data förblir skyddade. Genom att anpassa sina krav till NIS2-direktivet skyddar en organisation därför inte bara sin verksamhet utan stärker även kundernas förtroende.

Vad händer om du inte följer NIS2?

Om en organisation inte följer NIS2-direktivets krav kan det få allvarliga konsekvenser. Låt oss lära oss mer om det.

1. Ekonomisk sanktion

Organisationer som inte följer kraven i NIS 2-direktivet kommer att få drabbas av höga böter beroende på vilken kategori de tillhör.

Viktiga företag: Enheter som tillhör denna typ kan bötfällas med upp till 10 miljoner euro eller 2 % av deras globala årliga intäkter.
Viktiga företag: Enheter som tillhör denna typ av k böter på upp till 7 miljoner euro eller 1.4 % av deras globala årliga intäkter.

2. Rättsliga komplikationer

Utöver böter, om en organisation inte följer NIS 2-direktivet, kommer medlemmarna i organisationens ledningsgrupp att hållas ansvariga för att de inte följer kraven och kan bli föremål för rättsliga åtgärder.

3. Förlust av förtroende

Bristande efterlevnad kan också leda till förlorat förtroende från kunder, partners och till och med intressenter, vilket resulterar i skadat anseende för organisationen.

Hur kan EC hjälpa till?

NIS2-direktivet upprättades för att förbättra cybersäkerhetspraxis inom de olika kritiska sektorerna, och det första avgörande steget för att uppnå och upprätthålla NIS2-efterlevnad är en djupgående riskbedömning och gapanalys. Våra krypteringsrådgivningstjänster inkluderar grundliga revisioner och bedömningar för att identifiera luckor i olika processer som kan utsätta din organisation för efterlevnadsrisker. Så här kan vi hjälpa dig :

1. Vid granskning av befintliga policyer för din organisations infrastruktur

Detta innebär att identifiera era nuvarande krypteringsmöjligheter och förstå om det finns några begränsningar i era system eller inte. Vi granskar också er övergripande säkerhet för att säkerställa att vi har en komplett bild av er infrastruktur, med hänsyn till de olika användningsområden som är kopplade till er organisation.

2. Att bedöma brister och identifiera sårbarheter

Detta inkluderar att identifiera luckor i era befintliga policyer jämfört med branschstandarder för att säkerställa att säkerhets- och efterlevnadskrav följs. För detta genomför vi workshops för diskussioner om era nuvarande applikationer och uppmuntrar till samarbete mellan teammedlemmar för att samla värdefulla insikter. Dessutom har vi skapat ett utvärderingsformulär för att hämta viktig information om era krypteringsmetoder. Genom denna utvärdering identifierar vi därför befintliga datakrypteringsfunktioner och identifierar specifika områden för förbättring.

3. Vid genomförandet av färdplanen

Efter att bedömningen har slutförts kommer vi att förse er med en djupgående rapport som består av sammanfattningar av våra resultat och rekommendationer för var och en av dem. Denna rapport beskriver en strategi för att implementera nödvändiga funktioner för att säkerställa att ni är väl förberedda för att förbättra era krypteringsmetoder. Vår färdplan hjälper er också att följa branschstandarder och anpassa er till bästa praxis för att förbättra dataskyddet och hjälpa er att anpassa er till era efterlevnadskrav.

Slutsats

NIS2-direktivet är en central del av Europeiska unionens åtgärder för att stärka cybersäkerheten och skydda sina samhällsviktiga tjänster. Det fastställer tydliga riktlinjer för medlemsstaterna, bygger upp samarbete och fokuserar på att säkra leveranskedjan inom regionen.

För organisationer är NIS2 mer än bara en reglering. Snarare är det en möjlighet för organisationer att förbättra hur de hanterar cyberrisker. Anta starka riskhanteringsmetoder, förbered dig för incidenthantering och bygga solida styrningsramverk. Företag kommer inte bara att skydda sina system utan också bygga upp kundernas förtroende och bidra till en säkrare digital miljö.

Det kan kännas överväldigande att lära sig om och följa dessa nya krav, men den goda nyheten är att du inte behöver göra det ensam. Kontakta vårt team för att komma igång idag.