NIS2

: The Directive on Security of Network and Information Systems 2

EU-direktivet NIS, som ställer krav på säkerhet i nätverk och informationssystem, har reviderats och ett nytt direktiv har godkänts under slutet av 2022. Det nya direktivet, NIS2, publicerades 27 december 2022 och tar sikte på att stärka cybersäkerheten ytterligare hos samhällsviktiga sektorer i EU. Direktivet innebär att medlemsländerna från årsskiftet har 21 månader på sig att införa de nya bestämmelserna i nationell lagstiftning, vilket inträffar vid slutet av 2024.

Vad innebär det för er?

Om er verksamhet omfattas av de utökade sektorerna som NIS2 tar upp kommer ni behöva se över och implementera nya säkerhetslösningar, arbetsrutiner samt policys för att leva upp till efterlevnadskraven. Beroende på vilken sektor er organisation är verksam inom kan det finnas ytterligare åtgärder som ni måste tillämpa. Curitiba rekommenderar berörda organisationer att påbörja utveckling av säkerhetsarbetet snarast för att skydda er verksamhet från hot och för att vara redo inför den nationella lagstiftning som kommer.

Ett första steg inför det kommande regelverket är att se över om ert nuvarande säkerhetsarbete tar upp följande:

• Kontroll av säkerheten i leveranskedjan, omfattande era leverantörer och tjänsteleverantörer.

• Säkerhetspolicyer för era informationssystem.

• Kontrollera att användning av lösningar så som multifaktorautentisering eller kontinuerlig autentisering samt säkra kommunikationssystem används då det är lämpligt.

• Strategier och tillvägagångsätt för användning av kryptering.

• Strategier för att för att bedöma effektiviteten i riskhanteringsåtgärder, exempelvis genom penetrationtestning.

• Rutiner för bibehållande av hög säkerhet i nätverks- och informationssystem, exempelvis utbildningar/workshops inom säkerhet.

• Strategier för riskanalys och informationsystemens säkerhet.

• Incidenthanteringsplan, åtgärder som syftar att förebygga, upptäcka, analysera, reagera på samt återhämta sig.

• Kontinuitetshanteringsplan, exempelvis backuphantering, katastrofhantering.

Bland de viktiga förändringar som kommer med det nya direktivet är antalet sektorer som omfattas, som nu är betydligt fler än tidigare (se listorna nedan). För att särskilja de nya sektorerna som omfattas har man valt att dela in dem i två kategorier: högkritiska och andra kritiska sektorer. Verksamheter som är inkluderade inom en högkritisk-sektor definieras i direktivet som väsentliga entiteter medan de i andra kritiska sektorer definieras som viktiga entiteter. Ytterligare en ändring är att ledningen för de berörda verksamheterna numera kommer kunna ställas till svars för överträdelser av direktivet. Även administrativa sanktionsavgifter för överträdelser av det nya direktivet införs.

Behöver ni hjälp med tillämpningen av NIS2 direktivet?

Tveka inte att kontakta oss via telefon alternativt via formuläret nedan!