NIS2 för berörda verksamheter

Den som är verksamhetsutövare enligt NIS2 har i huvudsak följande uppgifter:

• Identifiera att man omfattas och anmäla sig.
• Etablera/upprätthålla ett systematiskt arbete med informationssäkerhet, införa lämpliga säkerhetsåtgärder och utbilda ledning såväl som personal.
• Rapportera in incidenter som medför eller kan medföra betydande störningar.

Verksamhetsutövaren berörs också av tillsyn från tillsynsmyndigheten för den sektor eller de sektorer där man omfattas.

Identifiera att man omfattas och anmäla sig

Den som omfattas av NIS2 kallas verksamhetsutövare.

Verksamhetsutövarna finns i 18 olika sektorer. De exakta kriterierna för vilka som ska omfattas i Sverige är inte klara ännu.

Exakta kriterier för vad som gäller i Sverige kommer när lag och föreskrifter är klara, men det går att få en god bild genom att läsa artikel 3 samt bilaga 1 och 2 i direktivet.

Artikel 3 Väsentliga och viktiga entiteter i direktivet på EU:s webbplats

Bilaga 1 Högkritiska sektorer i direktivet på EU:s webbplats

Bilaga 2 Andra kritiska sektorer i direktivet på EU:s webbplats

Det finns två kategorier av verksamhetsutövare – väsentliga och viktiga. Kraven som ställs på verksamheten är i stort sett desamma, men reglerna för tillsyn och sanktioner skiljer sig åt. Vilka verksamhetsutövare som räknas som väsentliga anges i NIS2-utredningens (SOU 2024:18) lagförslag 2 kap. 1§. Övriga verksamhetsutövare räknas som viktiga. 

Verksamhetsutövarna ska själva identifiera om de omfattas och i så fall anmäla sig till respektive tillsynsmyndighet. Exakta former för anmälan kommer att meddelas i föreskrifter.

Etablera och upprätthålla ett systematiskt arbete för informationssäkerhet

NIS2-direktivet ställer tydliga krav på bland annat riskanalyser och olika säkerhetsåtgärder/riskhanteringsåtgärder, som uppnås genom ett systematiskt arbete med informationssäkerhet. Det innebär bland annat att anpassa skyddet utifrån organisationens behov och utbilda personalen, inte minst ledningen.

Vad menas med informationssäkerhet?

Syftet med regleringen är att vi ska få ett säkrare samhälle och lagkraven ger stöd för att få det systematiska arbetet på plats för att göra det möjligt.

I direktivet och i den kommande cybersäkerhetslagen regleras dessa områden på en övergripande nivå. Mer specifika krav om vad arbetet ska innefatta kommer att meddelas i föreskrifter. För att förbereda sig kan man titta på de föreskrifter som finns idag.

Frågor och svar: Hur kan man förbereda sin verksamhet

Rapportera in betydande incidenter

Verksamhetsutövare ska rapportera in alla betydande incidenter till MSB. Detta bidrar till att vi kan skapa en samlad bild av incidentläget, varna andra och inleda eventuella samordnande insatser.

Som verksamhetsutövare ska du lämna in:

• en varning (även kallad notifiering) inom 24 timmar efter upptäckt
• en incidentanmälan med inledande bedömning inom 72 timmar efter upptäckt
• en slutrapport inom en månad, där omständigheterna beskrivs närmare, med bland annat konsekvenser, sannolik orsak och vilka åtgärder som vidtagits.
• en lägesrapport inom en månad i det fall incidenten fortfarande pågår. En slutrapport ska då istället lämnas in en månad efter att incidenten är avslutad.

Enligt NIS2-utredningens förslag (SOU 2024:18) ska incidentrapporteringen göras till MSB, som vidarebefordrar rapporterna till respektive tillsynsmyndighet.

Kriterier för vad som menas med betydande incident och hur rapporteringen ska gå till kommer att meddelas i föreskrifter.

Så fungerar incidentrapportering under NIS1

Tillsyn och sanktioner

Varje tillsynsmyndighet ansvarar för tillsyn inom sin specifika sektor. En viktig princip är att tillsynen ska vara ett stöd för leverantören i det egna säkerhetsarbetet. Vissa skillnader i tillsynen kan förekomma eftersom de olika NIS-sektorerna skiljer sig åt.

Tillsynsmyndigheterna ansvarar för se till att kommande cybersäkerhetslagen och relaterade föreskrifter följs. Det innebär bland annat att tillsynsmyndigheterna ska utöva tillsyn för att leverantörer uppfyller kraven på säkerhetsåtgärder och incidentrapportering.

Vid tillsyn är verksamhetsutövaren skyldig att ge tillträde till lokaler och tillhandahålla information som behövs för tillsynen.

En tillsynsmyndighet har möjlighet att ingripa mot verksamhetsutövare som inte uppfyller kraven bland annat genom att utfärda föreläggande eller ta ut en sanktionsavgift av den leverantör som underlåter att följa regleringen.

Tillsyn för viktiga verksamhetsutövare

För viktiga verksamhetsutövare får tillsynsåtgärder bara vidtas när tillsynsmyndigheten har befogad anledning att anta att regleringen inte följs.