Cybersäkerhetslagen / NIS2 är en strategisk möjlighet. Lagen ska säkerställa samhällsviktiga tjänsters funktion. För er skapar cybersäkerhetslagen fokus på att leverera era tjänster, affärsdriven säkerhet. För er innebär lagen:
- Ledningen ansvarar för säkerhetsåtgärder
- Incidenthantering & rapportering.
- Säker utveckling och leveranskedja.
Cybersäkerhetslagen / NIS2 innebär inget alternativ. Noncompliance finns inte. Så bli en vinnare, investera i digital resiliens och operativ motståndskraft.
Första frågan ni ställer er, omfattar cybersäkerhetslagen oss? Ension har förenklat det till tre frågor ett flöde: Träffas du oberoende av storlek? Är du aktiv i en sektor enligt Bilaga I eller Bilaga II? Är du stor nog för att träffas? Om ni träffas, registrera er på MCF anmälningsportal. .
Normalt omfattas inte små företag. Indirekt kan dock de ändå behöva anpassa verksamheten då de som träffas kan behöva ställa krav på sina underleverantörer.
EU regler är en pyramid: NIS2 är lagen, genomförande-förordningen detaljerade regler och ENISA vägledning en guide som klargör reglerna. Ett exemplel:
NIS2 kräver ”användning av flerfaktorautentisering”. Genomförandeförordning anger att användare flerfaktor-autentiseras i enlighet med [risk-]klassificeringen av den tillgång som ska nås”. Vägledningen utvecklar i att fler-faktorautentisering bör tillämpas på internetexponerade system, efterlevnad visas genom konfigurationsloggar.
Vägledningen kopplar även ENISA:s förväntningar mot internationella standarder, såsom ISO/IEC 27001.
Sverige har en annan struktur på regelverken än EU. Det startar med en Cybersäkerhetslag (2025:1506), fastställd av riksdagen. Därefter kommer Cybersäkerhetsförordning (2025:1507) som regeringen fastställer. Längst ner i de bindande reglerna kommer föreskrifterna som en mydighet fastställer.
Cybersäkerhetslagen och förordningen är på plats. Lagen gäller från 15/1 2026. MCF har tagit fram ett förslag till MCF föreskrifter, och väntade sig bli klara i mars, sommar.
NIS2-direktivets bilaga 1 och 2 definierar de sektorer som omfattas av cybersäkerhetslagen.
NIS2 bilaga I definierar högkritiska sektorer. En högkritisk verksamhetsutövare kan vara Väsentlig eller Viktig beroende på årsomsättningen och storleken på företaget.
NIS2 Bilaga 2 definierar andra kritiska sektorer som omfattas av cybersäkerhetslagen.
Cybersäkerhetslagen kräver att din affärsmodells tjänster är cybersäkra. Affärsmodellen ska klara sig i cyberspace mot cyberangrepp. Om du skapar värde för dig, dina kunder och dina partners trots angrepp från cyberspace blir du starkare. En operativ motståndskraft skapas.
Cyberattacker inriktas på att se till att din verksamhet och samhället skadas. Detta görs genom att komma åt, ändra eller förstöra information.
Cyberattacken är ett skott mitt i hjärtat på affärsmodellen. Affärsmodellen är bra att utgå ifrån i för att klara lagen.
Verksamhetens sammanhang, kontext, är grunden för säkerhet. Det är i affärsmodellen ni hittar era tjänster och i kontextenkan bedöma vilka som är samhällssvikitga:
Ett flygplan som används för att flyga har en annan sammanhang och andra risker än det används som hotell.
En kontextanalys ger er en kunskap om hoten mot er affärsmodell och ert erbjudande grunden för förbättring.
I cybersäkerhetslagens säkerhetsåtgärder finns krav på sex policys. Med dessa styr ni med riktlinjer säkerheten.
Ni i ledningen ska fokusera på den övergripande säkerhetspolicyn. Kontextanalysen är tillräcklig för ta fram denna. En smart skriven policy driver innovation kring säkra tjänster och effektiva processer.
Policyn kan även skapa den säkerhetskultur som fokuserar på affärsnytta och affärsdriven säkerhet.
Nu ska affärsdriven säkerhet levereras. Gör det inte i ett jätteprojekt utan ett kontinuerligt förbättringsarbete.
Ni ska leverera en säker intäkt och ett högt kundförtroende, att affärsmodellen levererar.
Metoden är att hitta och prioritera säkerhetsåtgärder och iterativt införa dem. Stödet är ett kontinuerligt förbättringsarbete där internrevisioner styr de kontinierliga förbättringarna. Affärsdriven säkerhet.
Tillsynsmyndigheten utför tillsyn. Väsentliga entiteter proaktivt tillsyn, viktiga entiteter vid befogad anledning. Säkerhetsrevisioner och säkerhetsskanningar kan ske.
För tillsynen ska ni leverera information som visar att ni följer lagen. Det kan kännas byråkratiskt. Men, om ni dokumenterar under säkerhetsarbetet så blir det både ett verktyg för analys och bevis av säkerhet.
Ni i ledningen måste skapa effektiva rutiner för analys och dokumentation. Ension visar på denna site hur du skapar affärsdriven säkerhet, med AI och modell.
För ledningen är policyn sättet att styra med högnivåkrav. "Policy för säkerhet i nätverks- och informationssystem". Policyn ska komplettera affärsstrategi och mål och beskriva principer och mål för hur säkerhet hanteras i nätverks- och informationssystem;
Ni som träffas av lagen har nog en säkerhetspolicy. Den behöver ni se över så den uppfyller cybersäkerhetslagen. Ni ska utforma policyn efter ert sammanhang, för er affär.
Vem är i centrum, måsen, viggen eller kraftledningen? Vad händer när viggen kör in i kraftledningen? Allriskansatsen tar i en viss kontext hänsyn till alla risker, i den kontexten.
I cybersäkerhet skyddas IT-systemen mot t ex stöld, brand, systemfel, mänskliga misstag, allt som kan störa samhällsviktiga tjänsters funktion. Riskanalysen med allriskansats ska ta hänsyn till detta. Affärsmodellen är er kontext, det cyberrisker för er affär som analyseras
För att veta att säkerhetssystemet fungerar krävs att systemet övervakas, mäts, analyseras och utvärderas. En intern revision tar reda på för att veta att du uppfyller kraven. Både egna krav och krav från standarder.
Här har ni i ledningen ett stort ansvar, hur ska ni annars kunna ta ansvar för cybersäkerheten om ni inte vet att säkerhetsåtgärderna fungerar. När ni gör det får ni reda på att era tjänster i kunderbjudandet fungerar
Kryptering är att göra information svårläslig för alla som inte ska kunna läsa den. Det är lätt för dig i ledningen att förstå att affärshemligheter måste hållas hemliga.
Cybersäkerhetslagen kräver att ni ska ha strategier och förafaranden för användande av kryptografi. En policy för kryptografi styr upp hur ni ska skydda information.
Att läcka information oavsiktligt skadar kundförtroende och era affärer.
I det digitala samhället vi lever i är digital kommunikation en förutsättning. Vi är vana vid att vi får att kvitto på köpet från banken dirket efter köpet. Det är mycket kommunikation som denna som är nödvändig för att samhällsviktiga funktioner ska fungera tillfredställande.
Riskhateringsåtgärder ska när så är lämpligt innefatta lösningar för multifaktorautentisering eller kontinuerlig autentisering. Röst-, video- och textkommunikationerska vara säkra, inklusive säkrade nödkommunikationssystem.
En IT-tillgång kan förenklat definieras som hårdvara, mjukvarusystem eller information. Tillgångshantering är processen att säkerställa att organisationens tillgångar registreras, används, underhålls och uppgraderas rätt.
För mig som pilot är det enkelt, viss information är hemlig t ex flygplanprestanda. Hemlig information kvitteras ut när jag börjar. Den ska användas i mitt arbete. Den rättas vid ändringar och lämnas in när jag slutar.
Ni i ledningen anvarar för att motsarande rutiner finns.
När ni i ledningsgruppen kliver ombord på SAS fygplan på Arlanda förutsätter ni att allt är säkert, fygplan från Airbus, flygmotorer från Rolls Royce o s v.
Säkerhet i keverantörskedjan för cybersäkerhet är samma sak. Leverantörerna ska ha cybersäkra tjänster och du ska ha cybersäkra integrationer med dessa.
Kraven i cybersäkerhetslagen löser ni genom avtal och tillsyn. I avtalet måste det finnas krav du kan verifiera och villkor för att leverantören tar kostnader för sanktioner om leverantören inte sköter sig.
Säkerhet i utveckling är en självklarhet inom t ex flyg, järnväg, bilar, medecinsk teknik m m. Här finns standarder som oftast grundar sig på ISO 61508.
Säker utveckling, safety & security by design, bygger in säkerhet i uvecklingsarbetet, i systemets hela livscykel.
Förvärv, utveckling, underhåll, underleverantörer. Säkerhet, inte starkare än den svagaste länken. Tänk, du ska flyga.
Cyberhygien är de metoder och procedurer som individer och organisationer använder för att upprätthålla motståndskraft mot cyberhot. Cyberhygien omfattar rutiner för bland annatt ex uppdatering av programvara, byte av lösenord, styrning av användarkonton.
Sverige tar fram en vägledning om god praxis och kontroll för cyberhygien som riktar sig till medborgare, intressenter och entiteter. Börja där.
Ledningen har stort ansvar att föregå med gott exempel. Ledningen ska skapa den säkerhetskultur som finns i flyg.
All personal, inklusive leverantörer, ska ni först bakgrudskontrollera och sedan ska ni se till att de förstår och följer era säkerhetsregler. Ni ska varken ha spioner, sabotörer eller felaktigt beteende hos personalen.
Målet är att minska risken för cyberattacker genom att alla i organisationen bidrar till säkerheten. Dessutom ska endast pålitlig personal har se känslig information.
För er i ledningen är det här enkelt, ni är vana, men ni måste säkra detta i hela organisationen: Ni sk forma en säkerhetskultur där säkerhet är allas angelägenhet.
Noaks datahall skyddar miljön för dina tjänster. IT-systemen ska skyddas mot fysiska hot. Detta inkluderar säkra försörjningstjänster och skydd mot naturkatastrof. Försöjningstjänster kan vara el eller vatten. Naturkatastrof kan vara vara skogsbrand eller översvämning.
För detta krävs beredskapsplaner och att säkra byggnader och utrustning mot obehörig åtkomst.
Med detta detta skapar ni kontinuitet och minskar skadekostnaderna. Kunder och intäkter säkras.
Incidenthantering är åtgärder som syftar till att förebygga, upptäcka, analysera, begränsa eller reagera på och återhämta sig från en incident.
För mig som pilot handlar det om att ta hand om elfel eller motorstopp, förberedelsen är checklistor och träning. Jag kan fortfarande motorstopp efter start utantill.
För att klara detta effektivt måste du som ledare se till att rutiner för incidentrapportering samordnas och införs.
I flygexemplet är inte fokus på flygplanet, utan transport av 250 passagerare från A till B. Precis som jag har en checklista för motorstopp, har flygbolaget en plan för hotell, mat och transport ordnas för passagerarna.
För er i ledningsgruppen att planera för händelser. Om det falerar, ta steget fram och agera för att skapa förtroende.
Cybersäkerhetskollen är ett verktyg från MSB som hjälper organisationer att mäta mäta säkerhetsåtgärder.
Verktyget består av fyra delar: Infosäkkollen, It-säkkollen, Ot-säkkollen och Leveranskedjekollen.
Resultaten används för att skapa en nationell lägesbild. Deltagande organisationer bidrar till ett säkrare Sverige och kan få företräde till MSB:s rådgivning.
Krav på säkerhet kräver expertis. Ulf är expert på cybersäkerhetslagen och safety by design. Han har arbetat med säkerhet i utveckling och operativt, som expert och ledare.
För Ulf är cybersäkerhet som annan säkerhet: det gäller att uppnå safety, en säker funktion, inte bara security, säkerhetsskydd. Flygplan som står stilla på marken är det säkraste som finns, men saknar funktion.