NIS2-direktivet är den uppdaterade versionen av det ursprungliga NIS-direktivet, Europeiska unionens första cybersäkerhetsförordning. NIS2 är utformat för att täppa till tidigare luckor och säkerställa konsekvent implementering i alla EU-medlemsstater, och utökar avsevärt omfattningen av cybersäkerhetsefterlevnaden.

NIS2-direktivet introducerar en harmoniserad uppsättning av cybersäkerhetskrav inom EU. Det innebär striktare regler för incidentrapportering, genomför ansvar på ledningsnivå och fastställer påföljder för bristande efterlevnad. Viktiga funktioner inkluderar:

• Obligatoriska riskbedömningar och implementering av säkerhetsåtgärder
• Tydliga ansvar för verkställande ledning
• Obligatorisk cybersäkerhetsutbildning och löpande riskhantering
• Ett samordnat EU-omfattande ramverk för sårbarhets- och hotdelning

Till skillnad från tekniska standarder fokuserar NIS2 på bästa praxis och styrningsprinciper snarare än att föreskriva specifika teknologier.

En av de viktigaste förändringarna i NIS2 är det utökade tillämpningsområdet. NIS1 fokuserade främst på kritiska infrastruktursektorer, men NIS2 breddade detta till att omfatta fler enheter. Denna förändring återspeglar sammankopplingarna mellan olika sektorer.

Genom att utöka täckningen eliminerar NIS2 svaga länkar orsakade av organisationer som tidigare var undantagna. Med betydligt fler organisationer som nu måste följa robusta cybersäkerhetsstandarder, förbättras den övergripande motståndskraften hos EU:s digitala infrastruktur avsevärt.

NIS1 riktade sig i första hand till operatörer av samhällsviktiga tjänster (OES) inom kritiska sektorer som energi, transport, vatten, bankverksamhet, infrastrukturer för finansmarknader, hälsa och digital infrastruktur. Dessutom omfattade det vissa leverantörer av digitala tjänster (DSP), såsom online-marknadsplatser, online-sökmotorer och molntjänster.

NIS2 utökar betydligt omfattningen av täckningen till att inkludera ett bredare spektrum av sektorer och enheter. Denna utvidgning erkänner den ökande sammankopplingen och digitaliseringen av olika branscher. En detaljerad lista över organisationer som måste följa de regler som anges i NIS2 finns nedan.

Övergången från NIS1 till NIS2 innebar flera betydande förändringar när det gäller de organisationer som omfattas av direktivet. Dessa förändringar speglar det föränderliga cyberhotlandskapet och behovet av ett mer omfattande tillvägagångssätt för cybersäkerhet i EU:s medlemsstater.

Med NIS2 ökar ledningens ansvar och ansvarsskyldighet. Genom detta lyfter NIS2 cybersäkerhet och cyberresiliens till den verkställande nivån och ökar integrationen i den grundläggande bolagsstyrningen.

Denna starkare betoning på ledningens ansvar innebär att organisationernas ledningsgrupper blir mer fullt involverade i och ansvariga för cybersäkerhetsstyrning. Detta inkluderar att övervaka implementeringen av säkerhetsåtgärder och säkerställa efterlevnad av direktivet.

Under NIS1 upplevdes krav för incidentrapportering av många som tvetydiga och inkonsekventa i EU:s medlemsstater. NIS2 syftade till att standardisera och effektivisera dessa krav, vilket gjorde dem mer precisa och konsekventa.

Till exempel, under NIS2 måste organisationer rapportera betydande incidenter till relevanta nationella myndigheter inom en specifik tidsram, vilket säkerställer snabba och effektiva åtgärder. Dessutom betonar NIS2 vikten av informationsdelning mellan EU:s medlemsstater och med EU:s cybersäkerhetsbyrå (ENISA). Detta samarbete underlättar snabb spridning av hotinformation och möjliggör en mer koordinerad respons på gränsöverskridande cyberhot.

Med NIS2 spelar tid en avgörande roll i responsen på attacker. Till skillnad från NIS1, som tillät mer skönsmässighet gällande rapporteringstidslinjer, fastställer det nya direktivet att cyberincidenter måste rapporteras till de behöriga myndigheterna inom 24 timmar. Därefter krävs följande:

• Uppdateringar inom 72 timmar;
• En slutgiltig incidenthanteringsrapport inom en månad.

Denna nya struktur är utformad för att säkerställa en mer aktuell och effektiv incidenthantering, vilket minimerar potentiella skador.

NIS2 föreskriver striktare riskhanteringsåtgärder jämfört med NIS1. Enligt NIS2 måste organisationer implementera omfattande cybersäkerhetspolicyer och -procedurer som är anpassade till deras specifika riskprofiler. Det kräver också att dessa riskhanteringsåtgärder är proportionerliga i förhållande till de faktiska risker som organisationen står inför. Detta är avsett att säkerställa att organisationer implementerar de säkerhetskontroller som är lämpliga för deras specifika profil och att de har förmågan att skala för att möta framtida krav.