Indholdsfortegnelse

• Introduktion

• Fra NIS til NIS2 – hvorfor en opdatering?

• Hvem er omfattet af NIS2?

• Vigtige krav i NIS2

• Hvordan vil svenske virksomheder og organisationer blive påvirket?

• Muligheder med NIS2

• Udfordringer på vejen

• Hvad bør virksomheder gøre nu?

• Anbefalede kurser på AVC

• Konklusion

Introduktion

Digitaliseringen fortsætter med at gennemsyre alle samfundets områder. Forretningsmodeller, kritiske samfundsfunktioner og borgernes dagligdag er i stigende grad baseret på digital infrastruktur. Men denne udvikling medfører også en markant stigning i sårbarheden over for cyberangreb, databrud og andre IT-relaterede hændelser. For at styrke den digitale modstandsdygtighed hos sine medlemsstater har EU indført en ny ramme: NIS2-direktivet

Siden den 17. oktober 2024, har NIS2 været en del af svensk lovgivning, hvilket introducerer væsentlige nye krav til virksomheder og offentlige organisationer. Her skitserer vi, hvad direktivet betyder, hvorfor det er vigtigt, og hvordan man forbereder sig i praksis.

Fra NIS til NIS2 – hvorfor en opdatering?

Det første NIS-direktiv (2016) var EU's første fælles ramme for cybersikkerhed. Formålet var at sikre, at operatører af væsentlige tjenester og udbydere af digitale tjenester havde et grundlæggende sikkerhedsniveau, og at alvorlige hændelser blev rapporteret.

På trods af dette er antallet af cybertrusler steget dramatisk i de seneste år: ransomware-angreb, statsstøttet cyberkrigførelse, angreb på forsyningskæder og sabotage mod kritisk infrastruktur. NIS1 blev ikke længere anset for at være tilstrækkelig.

NIS2 har derfor til formål at:

• Dæk flere sektorer og virksomheder – ikke kun de mest kritiske samfundsfunktioner.
• Skærp kravene til risikostyring, sikkerhedsforanstaltninger og rapportering af hændelser.
• Create a more uniform application throughout the EU, so that the level of security does not vary between member states.
• Giv myndighederne flere beføjelser til at overvåge og gribe ind i tilfælde af manglende overholdelse.

Hvem er omfattet af NIS2?

Et af de mest betydningsfulde ændringer er, at direktivet udvider anvendelsesområdet for dem, der er omfattet. NIS1 gjaldt hovedsageligt for energi, transport, finans, sundhedsvæsen og digital infrastruktur.

NIS2 tilføjer flere sektorer, herunder:

• Offentlig administration
• Affalds- og spildevandshåndtering
• Fødevareproduktion og distribution
• Fremstilling af visse kritiske produkter (f.eks. medicinsk udstyr, lægemidler, kemikalier, elektronik)
• Udbydere af IT- og cybersikkerhedstjenester

En anden vigtig forskel er, at direktivet dækker alle mellemstore og store virksomheder inden for de udpegede sektorer. Små virksomheder (færre end 50 ansatte og en omsætning på under 10 millioner euro) er generelt undtaget, men kan være omfattet, hvis de betragtes som særligt kritiske.

For Sverige betyder dette, at væsentligt flere organisationer end tidligere skal opfylde kravene – både offentlige og private.

Vigtige krav i NIS2

NIS2 pålægger de berørte parter en række specifikke forpligtelser. De vigtigste af disse er opført nedenfor:

1. Sikkerhedsforanstaltninger

Organisationer skal implementere både tekniske og organisatoriske foranstaltninger for at håndtere risici. Disse kan inkludere:

• Cybersikkerhedsstyring og risikostyring på ledelsesniveau.
• Foranstaltninger til at forebygge, opdage og håndtere hændelser.
• Sikkerhed i forsyningskæder.
• Sikkerhed i netværk og systemer, herunder kryptering og multifaktorautentificering.
• Kontinuitets- og genopretningsplaner i tilfælde af forstyrrelser.

2. Rapportering af hændelser

NIS2 skærper rapporteringskravene:

• Tidlig varsling inden for 24 timer efter detektering af en hændelse.
• Detaljeret rapport inden for 72 timer.
• En endelig rapport skal indsendes inden for en måned efter hændelsen.

Dette betyder, at organisationer skal etablere procedurer for hurtig intern rapportering, analyse og kommunikation med myndighederne.

3. Ledelsens ansvar

En væsentlig ændring er, at virksomhedsledelsen og bestyrelserne får et eksplicit ansvar for at sikre, at organisationen overholder kravene. De skal:

• Godkend sikkerhedsforanstaltninger.
• Deltag i cybersikkerhedstræning.
• Bliv holdt personligt ansvarlig for alvorlige mangler.

4. Reguleringstilsyn og sanktioner

Hver medlemsstat skal udpege tilsynsmyndigheder med beføjelse til at:

• Gennemfør revisioner og inspektioner.
• Anmod om oplysninger og bevis for overholdelse.
• Udsted bindende instruktioner.
• Pålæg bøder for manglende overholdelse.

Sanktionsniveauet er højt – op til 10 millioner euro eller 2% af den globale årsomsætning for de mest alvorlige overtrædelser.

Hvordan vil svenske virksomheder og organisationer blive påvirket?

I Sverige er man i øjeblikket i gang med at udvikle en ny cybersikkerhedslov for at erstatte den tidligere NIS-lov. Det forventes at træde i kraft senest efteråret 2024.

For svenske skuespillere betyder det, at de skal:

• Afgør om de er dækket
  • Organisationer skal afgøre, om de tilhører de sektorer og størrelsesklasser, der falder ind under NIS2.

• Styrk styring og ledelse
  • Ledelsen skal uddannes i cybersikkerhed og integrere problemstillingen i organisationens overordnede risikostyring.
• Udfør gap-analyser
  • Hvor godt opfylder de nuværende sikkerhedsforanstaltninger kravene i NIS2? Hvor er manglerne?
• Opbyg robuste procedurer for rapportering af hændelser
  • Processer er nødvendige for at opdage, analysere og rapportere hændelser rettidigt.
• Sikre forsyningskæden
  • Da mange cybertrusler spredes gennem underleverandører, skal organisationer også stille krav til deres partnere.

Muligheder med NIS2

Det er let at se NIS2 udelukkende som en byrde med øgede omkostninger og administrativt arbejde. Men direktivet kan også opfattes som en mulighed:

• Øget konkurrenceevne: Virksomheder, der kan demonstrere høj cybersikkerhed, bliver mere attraktive for kunder og partnere.
• Styrket tillid: At kunne garantere sikker håndtering af data og systemer opbygger tillid.
• Forbedret modstandsdygtighed: Investeringer i sikkerhed mindsker risikoen for kostbare afbrydelser, databrud og skader på brandet.
• Standardisering: Ved at harmonisere reglerne giver EU virksomheder, der opererer i flere lande, en klarere og mere ensartet spillebane.

Udfordringer på vejen

Der er dog virkelige udfordringer:

• Kompleksitet: Mange organisationer mangler i dag et klart billede af deres digitale aktiver og risici.
• Manglen på færdigheder: Cybersikkerhedseksperter er i underskud, både i den private og offentlige sektor.
• Omkostninger: Investeringer i systemer, processer og træning kan være betydelige, især for mellemstore virksomheder.
• Kulturel forandring: Cybersikkerhed skal blive en naturlig del af hele organisationen – ikke kun IT-afdelingens ansvar.

Hvad bør virksomheder gøre nu?

For at være godt forberedt på NIS2 bør svenske virksomheder og organisationer allerede gøre følgende:

• Udpeg en projektgruppe ansvarlig for overholdelse af NIS2.
• Uddan bestyrelsen og ledelsen i de nye krav og risici.
• Gennemfør en statusanalyse af informationssikkerhed og risikostyring.
• Indfør procedurer for hændelsesstyring og øv scenarier.
• Involvér leverandører og sikr at de opfylder rimelige sikkerhedskrav.

Anbefalede kurser hos AVC

For at hjælpe din organisation med at opfylde de nye NIS2-krav, anbefaler vi to skræddersyede e-læringsprogrammer:

• SecurityLearn® NIS2 Essentials – Et e-læringskursus, der giver en grundlæggende forståelse for cybersikkerhedsrisici og overholdelsesforpligtelserne beskrevet i artikel 20 i NIS2-direktivet. Kurset er designet til ikke-teknisk personale og opbygger bevidsthed samt fremmer en kultur for sikkerhed i hele organisationen.
• Certificeret NIS2 (CNIS2) – Et e-læringskursus for ledere, specialister og fagfolk, der er ansvarlige for at implementere og vedligeholde NIS2-overensstemmelse. Denne avancerede træning bygger bro mellem bedste praksis inden for cybersikkerhed og organisatorisk styring, hvilket giver deltagerne færdigheder til at håndtere risici, adressere hændelser og sikre overholdelse.

Begge kurser leveres online, på engelsk, og inkluderer certificering. De giver dig den viden og værktøjer, du har brug for, for at opfylde de nye direktivers krav.

Konklusion

NIS2 markerer en ny æra for cybersikkerhed i Europa. Mens GDPR fokuserede på databeskyttelse og individets privatliv, fokuserer NIS2 på robusthed og modstandsdygtighed på tværs af hele den digitale infrastruktur.

For svenske virksomheder og organisationer er budskabet klart: cybersikkerhed er ikke længere et anliggende for specialister i IT-afdelingen – det er et strategisk ledelsesspørgsmål med juridiske, økonomiske og tillidsmæssige konsekvenser.

At vente på at den nye lov træder i kraft kan vise sig at være kostbart. Men at handle i tide kan gøre forskellen på at se NIS2 som en tung regulatorisk byrde – eller som en mulighed for at styrke din forretning for fremtiden.

Kilder

• Regeringen. Nye regler om cybersikkerhed SOU 2024:18 – Delbetænkning fra Undersøgelsen om implementering af NIS2- og CER-direktiverne. København: Statens Offentlige Undersøgelser, 05. marts 2024. regeringen.se
• Europa-Kommissionen. Direktiv (EU) 2022/2555 om foranstaltninger for et højt fælles niveau af cybersikkerhed i Unionen (NIS2-direktivet). Den Europæiske Unions Tidende, 27. december 2022. eur-lex.europa.eu
• ENISA – Den Europæiske Unions Agentur for Cybersikkerhed. NIS2-direktivet: Oversigt og vigtige ressourcer. enisa.europa.eu