NIS2 och ditt utvecklingsprojekt – det här behöver du veta
NIS2 är EU:s skärpta cybersäkerhetsdirektiv som gör säkerhetskrav i leverantörskedjan till lagkrav för verksamheter i utpekade branscher över en viss storlek. För beställare betyder det ansvar för hur leverantörer hanterar säkerhet, samt krav på snabb incidentrapportering. Träffas ni behöver kraven in i kravställningen redan vid byråval, inte efteråt.
För verksamheter som omfattas av NIS2 är cybersäkerhet inte längre bara en god idé – det är lag, och ansvaret sträcker sig ända ut i leverantörskedjan. Det förändrar hur ett utvecklingsprojekt måste ställas upp. Säkerhet kan inte längre vara något leverantören “löser ändå”, utan blir ett krav ni ansvarar för att ställa och följa upp. Den här guiden översätter direktivet till vad det praktiskt betyder när ni ska beställa och bygga en digital tjänst.
Vilka branscher och storlekar som träffas
Det första att ta reda på är om ni över huvud taget omfattas, för NIS2 gäller inte alla. Direktivet riktar sig mot verksamheter vars funktion är viktig för samhället, och delar in dem i två grupper med lite olika tillsyn.
De utpekade sektorerna omfattar bland annat energi, transport, bankväsende, hälso- och sjukvård, dricksvatten och avlopp, digital infrastruktur, offentlig förvaltning, post, avfall och livsmedel. Jämfört med det gamla NIS-direktivet är listan betydligt bredare, och många organisationer som tidigare stod utanför träffas nu. Storleken spelar in som en grov tröskel: som tumregel omfattas medelstora och större verksamheter, medan de allra minsta ofta undantas. Var de exakta gränserna går bestäms av den svenska lagstiftning som införlivar direktivet, så en verksamhet som ligger i gränslandet bör kontrollera sin egen situation snarare än att gissa. Grundfrågan är enkel att ställa: är vi i en utpekad sektor, och är vi tillräckligt stora? Är svaret ja på båda, gäller kraven.
Leverantörskedjeansvaret vid byråval
Det som gör NIS2 särskilt relevant vid ett utvecklingsprojekt är ansvaret för leverantörskedjan. Kärnan är att ni inte kan lägga ut säkerheten på någon annan och tvätta händerna. Anlitar ni en byrå för att bygga ert system blir den byrån en del av er kedja, och deras säkerhetsbrister kan bli era problem, både i praktiken och inför tillsyn.
I praktiken innebär det att säkerhet måste vara ett kriterium redan när ni väljer leverantör, inte en efterhandsfråga. Vid en teknisk utvärdering bör ni titta på hur leverantören faktiskt arbetar med säkerhet: hur de skyddar kod och data, hur de hanterar sårbarheter och incidenter, och hur de i sin tur ställer krav på sina egna underleverantörer. Det ska sedan speglas i avtalet, med tydliga åtaganden om säkerhetsarbete, incidenthantering och rätten att följa upp. En leverantör som inte kan beskriva sitt eget säkerhetsarbete är en risk oavsett NIS2 – men under direktivet blir den risken också er efterlevnadsfråga.
Incidentrapporteringens tidskrav och vad systemet måste klara
En av de mest konkreta nyheterna i NIS2 är kraven på snabb incidentrapportering. Allvarliga incidenter ska anmälas till berörd myndighet inom snäva tidsfönster – en tidig förvarning kort efter att incidenten upptäckts, följt av mer utförlig rapportering därefter. De exakta tiderna följer av den nationella lagen, men riktningen är tydlig: det ska gå fort.
För ett utvecklingsprojekt är den avgörande insikten att man inte kan rapportera det man inte upptäcker. Ett system som saknar ordentlig loggning och övervakning gör det omöjligt att veta att en incident inträffat, än mindre att tidsstämpla den och rapportera i tid. Därför blir vissa egenskaper direkt kopplade till efterlevnad:
| Förmåga i systemet | Varför NIS2 gör den viktig |
|---|---|
| Loggning och övervakning | Krävs för att upptäcka och tidsstämpla incidenter alls |
| Genomtänkt åtkomst och behörighet | Minskar risken för incidenter och begränsar deras omfattning |
| Larm vid avvikelser | Gör att den snäva rapporteringstiden kan hållas |
| Spårbarhet i data | Underlättar den utförliga rapport som ska följa |
Det mesta av detta kännetecknar ändå ett väl byggt system. NIS2 gör skillnaden att det går från önskvärt till obligatoriskt – och att det bör stå i kravbilden från början, eftersom det är svårt och dyrt att bygga in i efterhand.
Ett konkret scenario
En verksamhet inom en av de utpekade sektorerna skulle upphandla ett nytt system och konstaterade att den omfattades av NIS2. I stället för att behandla säkerhet som en teknisk detalj att lösa på slutet lyftes den in i kravbilden och i utvärderingen av leverantörer redan från start.
Vid valet vägdes leverantörernas säkerhetsarbete in på riktigt: hur de hanterade sårbarheter, hur de skulle bygga loggning och övervakning, och hur de ställde krav neråt i sin egen kedja. Systemet byggdes med incidentupptäckt och spårbarhet från grunden, och avtalet reglerade rapporteringsansvar och uppföljning. När en mindre säkerhetshändelse senare inträffade kunde den upptäckas, tidsstämplas och rapporteras inom tidsfönstret – något som hade varit omöjligt om säkerheten tänkts in först efter lansering.
Väv in kraven från början
NIS2 gör cybersäkerhet till en fråga för hela leverantörskedjan och för ledningen, inte bara för IT-avdelningen. För ett utvecklingsprojekt är budskapet konkret: ta reda på om ni omfattas, väg in säkerhet vid val av leverantör, skriv in det i avtalet och bygg system som kan upptäcka och rapportera incidenter i tid. Görs det från start är det hanterbart; görs det för sent blir det en dyr omställning under press.
Vi på Weapp bygger med säkerhet och spårbarhet som utgångspunkt och hjälper gärna beställare att översätta krav som NIS2 till konkret kravställning, som en del av våra tjänster. Undrar ni vad direktivet betyder för ert nästa projekt? Hör av dig så resonerar vi kring hur kraven bäst vägs in redan vid byråvalet.
Vanliga frågor
Vad är NIS2?
NIS2 är ett EU-direktiv som skärper kraven på cybersäkerhet för samhällsviktiga och andra viktiga verksamheter, en utveckling av det tidigare NIS-direktivet. Det ställer krav på riskhantering, säkerhet i leverantörskedjan, incidentrapportering och ledningens ansvar. I Sverige införlivas det i nationell lagstiftning, ofta omtalad som cybersäkerhetslagen, och berör betydligt fler organisationer än sin föregångare.
Vilka branscher och storlekar träffas av NIS2?
Direktivet pekar ut sektorer som energi, transport, hälsa, dricksvatten, digital infrastruktur, offentlig förvaltning och flera andra, uppdelade i väsentliga och viktiga verksamheter. Storlek spelar in: som tumregel träffas medelstora och större organisationer, medan de minsta ofta faller utanför. Exakt var gränserna går avgörs av den nationella lagstiftningen, så verksamheter i gränslandet bör kontrollera sin egen situation.
Vad innebär ansvaret för leverantörskedjan?
Att ni ansvarar inte bara för er egen säkerhet utan också för hur era leverantörer hanterar sin. En byrå som bygger ert system blir en del av er leverantörskedja, och deras brister kan bli era. I praktiken betyder det att säkerhet måste vägas in vid val av leverantör och skrivas in i avtalet, med krav på hur de arbetar med säkerhet, incidenter och sina egna underleverantörer.
Vilka tidskrav gäller för incidentrapportering under NIS2?
Direktivet inför snäva tidsfönster för att rapportera allvarliga incidenter till berörd myndighet, med en tidig förvarning inom kort tid efter att incidenten upptäckts och mer utförlig rapportering därefter. De exakta gränserna följer av den nationella lagen. Poängen för ett utvecklingsprojekt är att systemen måste kunna upptäcka och tidsstämpla incidenter, annars går det inte att rapportera i tid.
Vad betyder NIS2 konkret för ett utvecklingsprojekt?
Att säkerhet blir kravställning från start. Systemet behöver byggas med loggning och övervakning som gör incidenter upptäckbara, med genomtänkt åtkomst och med förmåga att stödja snabb rapportering. Leverantören bör kunna visa hur de arbetar med säkerhet. Det mesta av detta är sådant som ändå kännetecknar ett väl byggt system – NIS2 gör det till ett uttalat krav i stället för en ambition.