NIS2-guide · 10 min
Så uppfyller du NIS2: en steg-för-steg-färdplan
NIS2 är ingen checklista du fyller i en gång. Det är en löpande skyldighet som backas upp av ledningens ansvar och myndigheternas tillsyn. Men vägen till efterlevnad är tydligt utstakad. Den här guiden lägger ut stegen i ordning: avgör om du omfattas, registrera dig hos din myndighet, gör ledningen formellt ansvarig, inför riskhanteringsåtgärderna, säkra din leveranskedja, bygg upp incidentrapportering och håll allt styrkt över tid. Varje steg länkar till en djupare guide där du behöver en.
Viktigaste punkterna
- NIS2 (direktiv (EU) 2022/2555) skulle vara omsatt i nationell rätt senast den 17 oktober 2024; skyldigheterna gäller via varje medlemsstats omsättningslag.
- Efterlevnad följer en tydlig sekvens: omfattning → registrering → styrning → artikel 21-åtgärder → leveranskedja → incidentrapportering → löpande säkring.
- Den är löpande, inte en engångssak. Ledningen är ansvarig (art. 20) och tillsynsmyndigheter kan granska, beordra åtgärder och utfärda sanktioner (art. 34).
Vad ”NIS2-efterlevnad” faktiskt innebär
NIS2 är ett EU-direktiv och gäller därför via den nationella lag som varje medlemsstat antagit för att omsätta det (omsättningsfristen var den 17 oktober 2024; vissa stater var sena). Det sätter en grund av riskhanteringsåtgärder för cybersäkerhet (art. 21), incidentrapportering (art. 23), styrning och ansvar (art. 20) samt registrering hos en behörig myndighet, upprätthållet genom granskningar och sanktioner (art. 34).
Avgörande: det är ett ledningssystem, inte ett certifikat. Man ”klarar” inte NIS2 en gång; åtgärderna drivs, styrks och förbättras löpande, och din ledning är personligen ansvarig för det. Stegen nedan tar dig till en försvarbar grund och håller dig där.
Vem måste efterleva
Väsentliga och viktiga entiteter: medelstora och stora organisationer i sektorerna i bilaga I/II (energi, transport, hälsa, vatten, digital infrastruktur, offentlig förvaltning, tillverkning med flera). Bekräfta din nivå med guiden ”Vem omfattas av NIS2”.
Indirekt indragen
Även utan utpekning når leveranskedjeplikten dig: entiteter som omfattas måste bedöma sina leverantörer (art. 21.2 d), så du möter frågeformulär, bevisbegäranden och löpande övervakning via dina avtal.
Färdplanen, steg för steg
Sju steg i ordning. Varje bygger på det föregående.
Bekräfta omfattning och nivå. Avgör om du är en väsentlig eller viktig entitet utifrån sektorerna i bilaga I/II och storlekströsklarna, och kartlägg var dina egna leverantörer hamnar.
Registrera dig hos din behöriga myndighet. De flesta medlemsstater kräver att entiteter som omfattas registrerar sig (namn, sektor, kontakter, IP-intervall) enligt sin omsättningslag.
Gör ledningen ansvarig. Ledningsorganet måste godkänna riskhanteringsåtgärderna, utöva tillsyn över dem och utbildas (art. 20), och kan hållas ansvarigt.
Inför åtgärderna i art. 21.2: de tio grundåtgärderna, tillämpade proportionerligt mot din risk (se listan nedan).
Säkra din leveranskedja. Bedöm och övervaka leverantörers cyberrisk (art. 21.2 d) med nivåindelning, frågeformulär och löpande bevis, inte en engångsgranskning.
Bygg upp incidentrapportering. Kunna skicka 24-timmars tidig varning, 72-timmars anmälan och slutrapport inom en månad till ditt CSIRT (art. 23).
Gör det löpande och styrkt. Övervaka, testa, dokumentera och granska så att du på begäran kan visa att åtgärderna fungerar.
Åtgärderna i artikel 21.2
Steg 4 i detalj. NIS2 kräver, proportionerligt, minst:
- (a) Riskanalys och säkerhetspolicyer för informationssystem.
- (b) Incidenthantering: upptäckt, respons och återställning.
- (c) Kontinuitet i verksamheten: säkerhetskopior, katastrofåterställning och krishantering.
- (d) Leveranskedjesäkerhet, inklusive säkerheten i relationerna med direkta leverantörer och tjänsteleverantörer.
- (e) Säkerhet vid anskaffning, utveckling och underhåll, inklusive hantering och röjande av sårbarheter.
- (f) Policyer och rutiner för att bedöma åtgärdernas effektivitet.
- (g) Grundläggande cyberhygien och säkerhetsutbildning.
- (h) Kryptografi och, där så är lämpligt, kryptering.
- (i) Personalsäkerhet, policyer för åtkomstkontroll och tillgångshantering.
- (j) Multifaktorautentisering, säkrad röst-/video-/textkommunikation och säkrad nödkommunikation.
Varför det aldrig riktigt ”tar slut”
Åtgärderna är inte ett projekt med en mållinje. NIS2 förväntar sig att du bedömer deras effektivitet (art. 21.2 f), och tillsynsmyndigheter kan utföra granskningar, begära bevis, utfärda bindande instruktioner och påföra sanktioner (art. 34): för väsentliga entiteter upp till 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket som är högst. Ledningen kan också hållas personligen ansvarig.
Därför är det sista steget viktigast: gapet mellan ”vi skrev en policy” och ”vi kan visa att den fungerar i dag” är precis vad en granskare, eller en kunds due diligence, ber dig att täppa till. Löpande övervakning och bevarade bevis förvandlar en engångsinsats till en försvarbar, upprepningsbar position.
NIS2 gäller via nationell rätt, och detaljerna (registreringsmekanik, frister, sektorsspecifika krav, sanktionsnivåer) varierar mellan medlemsstater. Bekräfta detaljerna med din nationella behöriga myndighet.
Var börjar du?
Ditt första steg beror på din situation:
Du omfattas tydligt (väsentlig eller viktig)
Börja vid steg 1 för att bekräfta din nivå, registrera dig sedan och informera ledningen. Använd guiden om ledningens ansvar för att engagera styrelsen tidigt.
Du är osäker på om du omfattas
Börja med guiden ”Vem omfattas av NIS2”, sektorer och storlekströsklar, innan du investerar i kontroller. Anta inte att du är undantagen; leveranskedjan kan ändå nå dig.
Du är leverantör till entiteter som omfattas
Även utan egen utpekning kan du vänta dig leverantörsformulär och övervakning. Guiderna om frågeformulär och checklista visar vad du ombeds styrka.
Du har redan ISO 27001
Mycket av steg 4 förs över, men inte lagstadgad incidentrapportering, registrering eller ledningens ansvar. ISO 27001-guiden kartlägger vad som återstår.
Källor: Direktiv (EU) 2022/2555 (NIS2) och din nationella omsättningslag. NIS2 gäller via nationell rätt; bekräfta registreringsmekanik, frister och sanktionsnivåer med din behöriga myndighet.
Hur norppa.io hjälper
norppa.io är byggt för steg 5 och 7, leveranskedje- och löpande bevis-delarna som de flesta team tycker är svårast. Det övervakar varje leverantörsdomän över fler än hundra kontrollpunkter dagligen (de tidskänsliga var sjätte timme), mappar varje fynd till den NIS2-artikel det rör och håller ett daterat, exporterbart register för din leverantörsakt.
Självbedömningsformulär fångar process- och avtalskontroller, och varje svar ställs bredvid den tekniska profilen i realtid: så att du, när en granskare eller kund ber dig visa att leveranskedjesäkerheten faktiskt fungerar, har aktuella, bekräftade bevis i stället för ett kalkylblad från i våras.