Vad är NIS2?

NIS2 är en uppdatering av EU:s tidigare NIS-direktiv och trädde i kraft i Sverige 2024. Syftet är att höja den grundläggande cybersäkerhetsnivån i hela EU – och det gör det genom att ställa lagkrav på hur företag och organisationer hanterar cybersäkerhetsrisker. Det som skiljer NIS2 från det gamla direktivet är framför allt räckvidden. Fler sektorer och fler företag omfattas nu, kraven är skarpare och tillsynen är hårdare. Att ignorera NIS2 är inte längre ett alternativ.

• Ha en dokumenterad process för att hantera cybersäkerhetsrisker
• Kunna rapportera allvarliga incidenter inom 24 timmar
• Säkerställa att personalen har tillräcklig kunskap om cybersäkerhet
• Ha kontroll på säkerheten hos sina leverantörer

NIS2 gäller företag inom ett brett spektrum av sektorer – energi, transport, hälso- och sjukvård, digital infrastruktur, tillverkning och flera till. Direktivet delar in företag i två kategorier: väsentliga och viktiga verksamheter. Som tumregel gäller det medelstora och stora företag inom de utpekade sektorerna. Men även mindre företag kan omfattas om de levererar kritiska tjänster eller ingår i leveranskedjor till större aktörer. Det bästa sättet att ta reda på om ditt företag berörs är att kontrollera med NCSC eller din branschorganisation – eller att helt enkelt utgå från att kraven gäller och agera därefter.

Ett av de tydligaste kraven i NIS2 handlar om kompetens. Direktivet slår fast att ledning och personal ska ha tillräcklig kunskap om cybersäkerhet för att kunna identifiera risker och agera rätt. Det räcker inte med att IT-avdelningen är uppdaterad. NIS2 riktar sig mot hela organisationen – från VD till receptionist. Alla som hanterar företagets system, data eller kommunikation behöver grundläggande utbildning.

• Regelbunden utbildning för alla anställda, inte bara IT-personal
• Dokumentation som visar att utbildning har genomförts
• Utbildning som täcker aktuella hot – phishing, lösenordshantering, social manipulation

Många företag vet att de berörs av NIS2 men vet inte var de ska börja. Det behöver inte vara komplicerat. Ett naturligt första steg är att säkerställa att alla anställda har grundläggande cybersäkerhetsutbildning. Det ger direkt dokumentation på att ni arbetar aktivt med kompetenskravet – och det är något tillsynsmyndigheterna kan kontrollera. Awarester är byggt för exakt det här: en enkel plattform där anställda genomför korta kurser i cybersäkerhet, och där admin kan följa progress och exportera rapporter för compliance.