Gratis 15-min diskussion
Boka ett kostnadsfritt samtal med en lokal Trustlinks-specialist där vi diskuterar om EU-direktivet NIS2 också omfattar er organisation och vad compliance vanligtvis brukar innebära. Du förbinder dig inte till någonting. Samtalet är endast av informativ karaktär och utgör inte juridisk rådgivning.
- 15 minuter, du förbinder dig inte till något
- Prata med en lokal NIS2-specialist
- Få en tydligare bild av nästa steg
- Demo av Trustlinks kan fås på begäran
Philipp Garz
Compliance Specialist, Trustlinks
Vad innebär NIS2-direktivet?
NIS2-direktivet (EU) 2022/2555 är EU:s uppdaterade cybersäkerhetslagstiftning. Det utvidgar tillämpningsområdet för det ursprungliga NIS-direktivet avsevärt – fler sektorer och företag av olika storlekar omfattas, och kraven på riskhantering, incidentrapportering, leveranskedjesäkerhet och ledningens ansvar skärps. EU:s medlemsstater var skyldiga att införliva NIS2 i nationell lagstiftning senast den 17 oktober 2024, och de nationella myndigheterna tillämpar det nu aktivt.
- Direktiv (EU) 2022/2555 – ersätter NIS (2016)
- Tidsfrist för införlivande: 17 oktober 2024
- Gäller i alla 27 EU-medlemsstater
- Genomförs av nationella myndigheter för cybersäkerhet (t.ex. under ENISA:s samordning)
Gäller NIS2 för er organisation?
NIS2 delar in de organisationer som omfattas av förordningen i två nivåer – ”väsentliga” och ”viktiga” enheter – vilket i allmänhet omfattar medelstora och stora företag (50 eller fler anställda eller en omsättning på 10 miljoner euro eller mer) inom nedanstående sektorer. Vissa kritiska leverantörer omfattas av förordningen oavsett storlek.
Viktiga enheter Högsta nivå av tillsyn och stränga böter
- Energi
- Bank och finans
- Dricksvatten och avloppsvatten
- Hantering av IT-tjänster
- Rymden
- Transport
- Hälsa
- Digital infrastruktur
- Offentlig förvaltning
Viktiga enheter Riskbaserad tillsyn, tillsynsåtgärder efter incidenter
- Post och budtjänster
- Kemikalier
- Tillverkning (medicinteknik, elektronik, fordon)
- Forskningsorganisationer
- Avfallshantering
- Livsmedelsproduktion och distribution
- Digitala tjänsteleverantörer (sökmotorer, sociala medier, marknadsplatser)
- Offentlig förvaltning
De sex pelarna för efterlevnad av NIS2
Artikel 21 fastställer minimikrav på riskhanteringsåtgärder som samtliga berörda organisationer måste genomföra, anpassade efter organisationens storlek, exponering och risknivå.
Åtgärder för riskhantering
Riktlinjer för riskanalys, systemsäkerhet, kryptografi, åtkomstkontroll, MFA och säker utveckling – anpassade efter verksamhetens risknivå.
Incidentrapport (24 timmar / 72 timmar / 1 månad)
Tidigt larm inom 24 timmar, fullständig incidentanmälan inom 72 timmar och slutrapport inom en månad till landets nationella CSIRT.
Säkerhet i leveranskedjan
Utvärdera och hantera cybersäkerhetsrisker hos direkta leverantörer och tjänsteleverantörer, inte bara inom den egna organisationen.
Styrning och ansvarsskyldighet
Ledningen ska godkänna cybersäkerhetsåtgärder, övervaka genomförandet och genomgå regelbunden utbildning – och kan hållas personligt ansvariga.
Kontinuitet i verksamheten
Rutiner för säkerhetskopiering, katastrofåterställning och krishantering, vilka alla testas regelbundet.
Hantering och offentliggörande av sårbarheter
Samordnade processer för att ta emot, prioritera och åtgärda sårbarheter i era produkter och tjänster.
Påföljder vid bristande compliance
NIS2 inför EU:s strängaste cybersäkerhetspåföljder och personligt ansvar för ledningen.
Väsentliga enheterUpp till 10 000 000 euro
eller 2 % av den globala årsomsättningen
Viktiga enheterUpp till 7 000 000 euro
eller 1,4 % av den globala årsomsättningen
Ledningen kan hållas personligt ansvarig för överträdelser och riskerar i allvarliga fall tillfälligt förbud mot att inneha ledande befattningar.
Nå NIS2-compliance utan röriga kalkylblad
Trustlinks kombinerar en plattform för kontinuerlig compliance med lokal expertis och support – så att ni snabbare uppnår NIS2-compliance och upprätthåller den även när verksamheten förändras.
Snabb NIS2 gap assessment
Kartlägg er efterlevnad mot varje artikel i NIS2 – på dagar, inte månader. Med en tydlig och prioriterad åtgärdsplan.
Plattform för kontinuerlig compliance
Trustlinks automatiserar bevisinsamling, kontrollövervakning och rapportering i hela er systemarkitektur.
Stöd från lokala experter
Samarbeta med konsulter som känner till den nationella genomförandelagstiftningen och tillsynsmyndigheten i er bransch.
Rapportering som uppfyller revisionskraven
Generera den dokumentation som revisorer och myndigheter faktiskt vill se – utan att behöva pyssla med kalkylblad varje kvartal.
Frågor om NIS2 – här hittar du svaren
Gäller NIS2 för mitt företag?
Är din organisation verksam inom någon av de väsentliga eller viktiga sektorerna och har minst 50 anställda eller 10 miljoner euro i omsättning, omfattas ni sannolikt av NIS2. Storleksgränsen gäller inte för vissa kritiska leverantörer – som DNS, toppdomänregistreringsorgan och offentlig förvaltning. Boka ett 15-minuterssamtal för att reda ut det, men låt en kvalificerad juridisk rådgivare ge det slutgiltiga beskedet.
Vad är skillnaden mellan NIS och NIS2?
NIS2 utvidgar tillämpningsområdet till cirka 15 sektorer (jämfört med 7), begränsar medlemsstaternas tolkningsutrymme, skärper tidsfristerna för incidentrapportering, kräver riskhantering i leveranskedjan och inför personligt ansvar för ledningen – med avsevärt högre böter.
Vilka är tidsfristerna för rapportering av incidenter enligt NIS2?
En tidig varning till ert nationella CSIRT inom 24 timmar efter kännedom om en allvarlig incident, en incidentanmälan inom 72 timmar (inklusive en inledande bedömning) och en slutrapport inom en månad.
Hur stora är böterna enligt NIS2?
Väsentliga enheter riskerar böter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen – det högsta beloppet gäller. För viktiga enheter är taket 7 miljoner euro eller 1,4 %. Ledande befattningshavare kan dessutom drabbas av personliga sanktioner, inklusive tillfälligt förbud mot att inneha ledande befattningar.
När trädde NIS2 i kraft?
NIS2 trädde i kraft den 16 januari 2023. Medlemsstaterna skulle ha infört direktivet i nationell lagstiftning senast den 17 oktober 2024 – och tillämpningen är nu aktiv i hela EU.
Behöver vi ett informationssäkerhetsledningssystem (ISMS) enligt ISO 27001 för att uppfylla kraven i NIS2?
NIS2 kräver inget specifikt ramverk, men ISO 27001 täcker merparten av kraven på riskhantering och förenklar avsevärt arbetet med att visa compliance. Trustlinks kopplar automatiskt dina befintliga kontroller till relevanta NIS2-artiklar.
Hur lång tid tar det att uppfylla kraven enligt NIS2?
En initial implementation tar vanligtvis flera månader beroende på organisationens storlek och mognad. Bristanalysen tar 2–4 veckor – den största insatsen ligger i att åtgärda bristerna och samla in underlag. NIS2-compliance är inget man bockar av – det är ett löpande arbete som är en del av verksamheten. Trustlinks samlar bristanalys, riskanalys, leverantörshantering och underlagsinsamling på en och samma plattform – så att du alltid har kontrollen.
Vad ingår i den kostnadsfria 15-min diskussionen?
Vi går igenom om NIS2 sannolikt gäller er organisation, vilken nivå som kan vara tillämplig, vanliga brister och hur en realistisk compliance-plan kan se ut. Samtalet är informativt – inte juridisk rådgivning – och utan försäljningspress. För en bindande bedömning av era skyldigheter rekommenderar vi en kvalificerad juridisk rådgivare.
Få en tydlig överblick över NIS2 på 15 minuter – helt gratis.
Prata med en lokal Trustlinks-specialist. Ingen förberedelse krävs – ta med dina frågor så går vi igenom din situation och vad nästa steg brukar innebära. För informationssyfte endast – inte juridisk rådgivning.
- Diskutera om NIS2 sannolikt gäller för er organisation
- Gå igenom vilken enhetsnivå och vilka skyldigheter som kan vara relevanta
- Vanliga områden med höga risker som bör beaktas
- Få praktiska synpunkter på realistiska tidsplaner för compliance
Denna rådgivning är av informativ karaktär och utgör inte juridisk rådgivning, och inget klientförhållande uppstår. För en bindande bedömning av dina skyldigheter bör du vända dig till en kvalificerad jurist.
Philipp Garz
Compliance Specialist, Trustlinks
