NIS2-compliance: Artikel 21-checklistan för svenska bolag

NIS2 är ett omfattande direktiv, men för de flesta bolag kokar det praktiska arbetet ner till en paragraf: artikel 21. Det är där direktivet listar de riskhanteringsåtgärder ni faktiskt måste ha på plats. Resten av lagtexten beskriver vilka som omfattas, tillsyn och sanktioner - artikel 21 beskriver vad ni ska göra.

Den här checklistan går igenom de sju områdena, vad var och ett innebär i praktiken för ett svenskt bolag, och var jag brukar börja. Vill ni ha en strukturerad gap-analys gör jag det inom NIS2-compliance.

1. Riskhantering och informationssäkerhetspolicies

Grunden är en dokumenterad, beslutad och förankrad policy för informationssäkerhet - inte ett dokument i en låda, utan något ledningen står bakom och som styr prioriteringar. Riskhantering ska vara en löpande process: identifiera, värdera, åtgärda, följa upp.

2. Incidenthantering och rapportering (24h/72h-regeln)

NIS2 ställer skarpa tidskrav: en tidig varning inom 24 timmar och en mer fullständig rapport inom 72 timmar vid betydande incidenter. I praktiken kräver det att ni vet i förväg vem som larmar, vem som beslutar och vad som rapporteras - innan det smäller. En incidentplan som testats är värd mer än en perfekt plan ingen övat på.

3. Business continuity och katastrofåterställning

Kan verksamheten fortsätta när ett system fallerar? Krav på backup, återställning och kontinuitetsplaner. Det avgörande måttet är inte att backup finns, utan att återställning har testats och att ni vet hur lång tid den tar.

4. Supply chain security och tredjepartshantering

Era leverantörer är en del av er attackyta. NIS2 kräver att ni bedömer och hanterar säkerhetsrisker i leverantörskedjan - vilket i praktiken betyder leverantörsbedömningar, krav i avtal och en aktuell bild av vilka tredjeparter som behandlar er data. Det är här en underleverantörslista blir konkret nytta.

5. Säker systemutveckling och sårbarhetshantering

Säkerhet ska byggas in, inte läggas på efteråt: säkra utvecklingsrutiner, hantering av sårbarheter och en kanal för att ta emot rapporter. En publik säkerhetspolicy och en process för ansvarsfull sårbarhetsrapportering hör hit.

6. Kryptering och nyckelhantering

Kryptering i vila och i transit som standard, med en genomtänkt hantering av nycklar. Det handlar mindre om att välja den starkaste algoritmen och mer om att ha ordning på var nycklar finns, vem som har åtkomst och hur de roteras.

7. Privilegierad åtkomst och MFA

Multifaktorautentisering där det betyder något, och strikt styrning av privilegierade konton enligt least privilege. De flesta allvarliga intrång utnyttjar stulna eller övergeneröst tilldelade behörigheter - det här området ger mest säkerhet per investerad krona.

▶ NIS2-gap-analys på några veckor. Jag mäter er mognad mot artikel 21 och ger en prioriterad åtgärdsplan - se NIS2-compliance eller NIS2 Readiness-sprinten.

Var du bör börja

Börja inte med att köpa verktyg. Börja med en gap-analys: var står ni mot de sju områdena idag? Prioritera sedan efter risk och insats. Område 7 (åtkomst och MFA) och område 2 (incidentrapportering) ger ofta mest trygghet snabbast. Se även den praktiska NIS2-checklistan.

Relaterat

• NIS2-checklista för svenska företag
• NIS2 Readiness - 3-veckors gap-analys
• Cybersäkerhet & compliance

Vill du ta det vidare?

Jag hjälper svenska bolag att nå NIS2-efterlevnad utan att drunkna i ramverk. Boka ett samtal så går vi igenom var ni står mot artikel 21.