Precis som resten av Europa upplever vi en ökning av cyberattacker här hemma. Antalet ransomware- och leverantörskedjeattacker har naturligtvis uppmärksammats av politikerna i Europaparlamentet. För att stärka det gemensamma försvaret mot hoten antog EU 2018 ”Network and Information Systems Directive”. Direktivet ska förbättra cybersäkerheten i EU genom att öka motståndskraften hos kritisk digital infrastruktur och viktiga nätverk mot cyberattacker och andra säkerhetshot.
Men nu, sex år senare, när den digitala evolutionen har förändrats drastiskt i takt med cybersäkerhetslandskapet, är det det nyare NIS 2-direktivet som är aktuellt. Genom att fastställa gemensamma säkerhetsstandarder för olika länder och ställa krav på skydd av kritiska nätverks- och informationssystem är avsikten bland annat att utvidga säkerhetsreglerna till att omfatta fler sektorer och företag än det ursprungliga direktivet.
Men EU:s deadline för implementering den 18 oktober 2024 missades och som det ser ut nu kommer det att dröja en bra bit in i 2025 innan vi vet det slutliga resultatet. Och det är en källa till stor frustration och osäkerhet för alla som behöver känna till den specifika lagstiftningen för att kunna följa den.
Alla kan hamna i kläm
Att följa de kommande NIS 2-direktiven innebär flera utmaningar för svenska företag, eftersom direktiven inte längre bara gäller för stora organisationer. Framöver kommer även medelstora företag att omfattas av de nya reglerna, vilket innebär att kraven utökas avsevärt.
Detaljerade krav på implementering av cybersäkerhetsteknik, personalutbildning och efterlevnad av regleringsstandarder kommer att leda till högre operativa krav och kostnader. Här hemma har vi, precis som i många andra länder, sett en ökning av attacker mot leverantörskedjan. Detta utgör en särskild risk för MSP:er (Managed Service Providers) och konsultföretag, som ofta fungerar som kontaktpersoner med tillgång till flera kunders nätverk.
Som ett litet eller medelstort företag kan det vara svårt att sätta sig in i om – och i så fall i vilken utsträckning – man omfattas av NIS 2. När är företaget en del av en ”kritisk digital infrastruktur”?
Är ditt företag i hackarnas sikte?
För det första är det viktigt att definiera vad som menas med ”kritisk”. NIS 2 omfattar inte bara företag inom energi-, sjukvårds- och transportsektorn, utan även it-tjänstleverantörer, inklusive MSP:er, molnleverantörer och andra som hanterar eller lagrar kunddata.
Det finns med andra ord ingen tumregel som kan avgöra om företaget omfattas av den kommande lagstiftningen. Men om jag ska nämna några företag som behöver vara extra vaksamma den kommande tiden så är det internetleverantörer, molntjänstleverantörer, datacenter, online-marknadsplatser, sökmotorer och plattformar för sociala nätverkstjänster samt tillverkare av datorer och annan elektronisk utrustning.
Man skulle kunna fråga sig: ”Om vårt företag drabbas av en hacker- eller ransomware-attack, vem mer drabbas då?” Kanske är affärspartner och andra företag faktiskt bättre på att bedöma hur ”kritisk” din verksamhet är för andra?
Lång väg mot säkerhet
Attacker mot leverantörskedjor är vanligt förekommande och drabbar ofta underleverantörer som flera företag är beroende av. NIS 2 understryker behovet av att säkra leverantörskedjan, och Norden kan visa vägen genom att utveckla en bästa praxis för samarbete mellan företag och deras leverantörer.
Som ett av världens mest digitaliserade länder lever vi med en ständig risk för att drabbas av cyberattacker. Och enligt NIS 2-direktivet måste företag utbilda sin personal och optimera de interna rutinerna eftersom den offentliga och privata sektorn är nära integrerade och delar många digitala system.
Även om NIS 2-direktivet är en utmaning för både stora och små företag och institutioner bör det vara ett viktigt incitament för att stärka it-säkerhetsnivån, vilket är avgörande för den digitala, ekonomiska och sociala utvecklingen i vårt land.
