Testa om ni behöver förhålla er till NIS2-direktivet

Som en fortsättning på de säkerhetskrav som ställdes upp i NIS-direktivet kommer nu uppföljningen NIS2. I det nya direktivet blir kraven hårdare, men framför allt kommer kontrollinstanserna att kunna tillämpa konkreta sanktioner för den organisation som brister i efterlevnaden. Direktivet implementeras under hösten i nationella lagstiftningar.

Det huvudsakliga syftet är att höja säkerhetsnivån inom kritiska samhällssektorer. Men även företag och organisationer med indirekt koppling till dessa sektorer kan falla inom ramen för berörda verksamheter.

Lantero har tagit fram några frågor som hjälper er att avgöra om ni behöver förhålla er till reglerna. Om svaret på någon av frågorna är ja så bör ni titta närmare på regelverket och etablera en plan eller ett förhållningssätt till de nya reglerna.

• Tillhandahåller vi tjänster eller infrastruktur inom sektorer som energi, transport, bank, hälso- och sjukvård, vattenförsörjning eller digitala tjänster?

• Har vi kunder inom samhällsviktiga verksamheter? (Även leverantörer och tredjepartsleverantörer kan omfattas av NIS2.)

• Hanterar vi kritisk infrastruktur eller digitala tjänster som påverkar samhällets säkerhet eller ekonomiska stabilitet? (Organisationer som påverkar nationell eller samhällelig säkerhet är i regel inkluderade.)

• Har vår organisation mer än 50 anställda eller en årlig omsättning som överstiger 10 miljoner euro?

• Är vi beroende av nätverk och informationssystem för att tillhandahålla våra produkter eller tjänster? (NIS2 riktar sig mot organisationer vars verksamhet är beroende av digitala system.)

• Har vi tidigare blivit utsatta för cyberattacker eller andra säkerhetsincidenter som kan ha påverkat vår verksamhet eller våra kunders integritet? (Företag som hanterar känslig data och varit måltavla för cyberhot kan omfattas.)

Med anledning av att direktivet även träffar många underleverantörer till de primärt berörda organisationerna så blir det en angelägenhet för många. Det är ännu oklart hur noggrant uppföljningen av underleverantörernas NIS2-arbete kommer att göras, men troligt är att det kommer att vara en tydlig fördel att kunna peka på ett strukturerat arbete och en medvetenhet om var man står i förhållande till ramverket.

– Vi möter många som upplever att regelverket är för långtgående och ställer krav på fler verksamheter än vad som vore nödvändigt. Samtidigt finns det en motsatt inställning bland många som arbetar nära säkerhetsfrågor, eller som har varit utsatta för olika typer av attacker. Man upplever då ofta att ramverket är klokt för de allra flesta att arbeta efter, säger Petter Tiger på Lantero.