Vad är NIS2 –

Gäller NIS2 din organisation?

NIS2 omfattar fler sektorer än tidigare och delar in verksamheter i två huvudkategorier: mycket kritiska och andra kritiska sektorer. Dessa listas i direktivets bilagor (Annex I och II) och ligger till grund för vilka organisationer som omfattas av kraven.

Även om er organisation inte klassas som “kritisk” i sig, kan ni ändå påverkas. Många organisationer som omfattas av NIS2 kommer behöva ställa tydligare krav på sina leverantörer och partners, särskilt när det gäller cybersäkerhet och riskhantering i försörjningskedjan.

Vad innebär en “kritisk organisation” enligt NIS2?

NIS2 delar in organisationer i två kategorier:

• Mycket kritiska organisationer
• Andra kritiska organisationer

De grundläggande säkerhetskraven är i stort sett desamma för båda kategorierna, men graden av tillsyn, uppföljning och sanktioner skiljer sig.

Vilken kategori en organisation tillhör avgörs bland annat av verksamhetens art och storlek. Faktorer som antal anställda samt omsättning och balansräkning – enligt EU:s SME-definitioner – spelar ofta en avgörande roll i bedömningen.

Visste du att MSP:er omfattas av NIS2?

NIS2-direktivet definierar totalt 18 sektorer som kan omfattas av krav på cybersäkerhet och incidentrapportering. Dessa är uppdelade i två kategorier (Annex I och Annex II) och inkluderar bland annat samhällsviktiga tjänster, digital infrastruktur, offentlig förvaltning och IT-relaterade tjänster.

Sektorer med mycket hög kritikalitet (Annex I)

Dessa sektorer är centrala för samhälls- och ekonomisk funktion, och påverkas direkt av NIS2.

1. Energi – t.ex. el (producenter, nätoperatörer, marknadsaktörer), gas, olja, fjärrvärme/kyla och väte.  
2. Transport – flyg, järnväg, sjöfart och väg- och trafikledningstjänster.  
3. Bank – kreditinstitut och liknande finansiella aktörer.  
4. Finansiell marknadsinfrastruktur – handelsplatser, centrala motparter och relaterade aktörer.  
5. Hälsa & sjukvård – vårdgivare, laboratorier, läkemedels- och medicinteknisk produktion.  
6. Dricksvatten – leverantörer och distributörer av vatten för mänsklig konsumtion.  
7. Avloppsvatten – hantering och behandling av avloppsvatten.  
8. Digital infrastruktur – bl.a. DNS- och IXP-leverantörer, molntjänster, datacenter och nätverkstjänster.  
9. ICT Service Management – t.ex. MSP:er och MSSP:er (hantering av IT-tjänster B2B).  
10. Offentlig förvaltning – statliga och regionala myndigheter/organ.  
11. Rymden – operatörer av markbaserad infrastruktur som understöder rymdtjänster.  

Andra kritiska sektorer (Annex II)

Utöver ovanstående omfattar NIS2 även ytterligare sektorer som anses viktiga för den bredare samhälls- och ekonomiska infrastrukturen:

1. Post- och budtjänster – post- och budleverantörer.  
2. Avfallshantering – företag som hanterar avfall.  
3. Tillverkning, produktion och distribution av kemikalier – kemiska produkter och distribution.  
4. Produktion, behandling och distribution av mat – livsmedelsverksamheter.  
5. Tillverkning – tillverkning inom flera industrisegment (t.ex. elektronik, maskiner, fordon).  
6. Digitala leverantörer – leverantörer av digitala plattformar som marknadsplatser och sociala nätverk, samt sökmotorer online.  
7. Forskning – forskningsorganisationer med primärt tillämpad forskning och kommersiellt fokus.

Vad kräver NIS2 i praktiken?

NIS2 skärper förväntningarna på att ni ska ha ett strukturerat cybersäkerhetsarbete. I praktiken handlar det ofta om.

Riskhantering & skyddsåtgärder

Policyer, riskanalyser, skydd, rutiner och kontroller som står i proportion till risknivå.  

Incidenthantering & rapportering

Förmåga att upptäcka, hantera och rapportera incidenter enligt tydliga processer.  

Ledningsansvar & styrning

Tydligare ansvar i organisationen för att säkerhetsarbetet faktiskt genomförs och följs upp.  

Kontinuitet & återställning

Planer för att hålla verksamheten igång och återställa vid allvarliga incidenter (backup/DR, krishantering, rutiner).

Vanliga utmaningar vi ser

• System och processer som inte hänger ihop när verksamheten växer
• Manuella moment som skapar risk och tar tid
• Otydligt ansvar mellan IT, drift, leverantörer och ledning
• Brist på spårbarhet, uppföljning och dokumenterade rutiner

Kom igång med NIS2

– i 4 enkla steg

1) Bedöm omfattning

Ta reda på om ni (eller era kunder) omfattas – och vilka delar som berör er.

2) Kartlägg nuläge

Identifiera risker, kritiska tillgångar, beroenden och de största gapen.

3) Inför åtgärder och arbetssätt

Bygg processer för riskhantering, incidenthantering, åtkomst, kontinuitet och leverantörsstyrning.

4) Följ upp och förbättra löpande

Mät, testa, revidera och stärk säkerheten över tid – så att det blir en del av vardagen.

Så kan MSP Nordics hjälpa

Vi hjälper MSP:er och IT-organisationer att översätta krav till praktiskt genomförande: från nulägesbild och struktur till val av verktyg, implementering och arbetssätt som håller över tid – med fokus på att skapa effekt i drift, support och styrning.

‍

‍

‍