• Digital säkerhet
  • Traditionell säkerhet
  • I FOKUS
  • Nyhetsbrev

NIS2 kommer att dela upp IT-leverantörer i ett A-lag och ett B-lag – det måste du vara förberedd på

”Made in Europe” får en helt ny innebörd när den nya dataförordningen NIS2 träder i kraft i höst. För med NIS2 ställs det helt nya krav på svenska företag att dokumentera hur deras IT-leverantörer hanterar deras data. Men det finns en genväg. Det skriver Torben Clemmensen, it-säkerhetsspecialist och regional director för Nordeuropa på Tehtris.

-

När EU-förordningar skapar rubriker handlar det ofta om banaliteter som mängden kanel i våra bullar eller dödshot mot vår älskade surströmming – och inte så mycket om de hundratals andra, ofta helt nödvändiga, regelverk som faktiskt kommer från Strasbourg.

Ändå har NIS2 gett alla oss som arbetar med data i Europa kalla kårar. Den kommande databehandlingsförordningen föreskriver hur företag som omfattas av NIS2 och offentliga institutioner ska säkerställa, dokumentera och validera säker datatrafik och drifttid – även hos alla sina leverantörer.

De måste därför – om de till exempel använder amerikanska IT-säkerhetsplattformar – ansvara för deras databehandling och kunna dokumentera en legitim hantering av känsliga uppgifter. Det låter som en processfråga, men om man inte följer regelverket – eller om man råkar ut för dataintrång – så blir de ekonomiska och affärsmässiga påföljderna allvarliga.

Lyckligtvis finns det en genväg till efterlevnad, eftersom NIS2 delar upp IT-säkerhetsföretag i ett A-lag och ett B-lag. Genom att göra rätt satsning kan du drastiskt minska den arbetsbörda som du och din organisation måste hantera.

Vem har ansvaret?

NIS2 är en nödvändig förordning och en förlängning av det befintliga NIS-direktivet (Network & Information Security), som bland annat gav oss den viktiga ISO27001-standarden. Medan GDPR ställer krav på hur känsliga personuppgifter behandlas så ställer NIS2 något förenklat krav på hur känsliga personuppgifter transporteras. Det handlar om att hantera riskerna för säkerheten i nätverks- och informationssystemen, som NIS2 formulerar det.

Som utgångspunkt är det offentliga institutioner, organisationer och företag som definieras som kritisk infrastruktur – det vill säga organisationer som har en så avgörande betydelse för samhället att vi inte klarar oss utan dem. Det gäller telekomleverantörer, stora livsmedelskedjor och läkemedelsindustrin – alla omfattas av NIS2.

Men det slutar inte där. Om du till exempel är en europeisk IT-säkerhetsleverantör till någon av ovanstående organisationer måste du följa samma regelverk. Å andra sidan kan du räkna med att de europeiska företagen du samarbetar med också måste följa NIS2 – och därmed har en stor del av ansvaret för att reglerna följs – så du kan både spara energi och slappna av lite mer.

Problematiken uppstår när du arbetar med utomeuropeiska företag, för eftersom de inte behöver följa regelverket så är det ditt företag som har ansvaret.

”Made in Europe – stays in Europe”

EU-lagstiftningen gäller naturligtvis bara för EU-företag och därför behöver inte amerikanska företag ansvara för det nya regelverket. Många kommer säkert att försöka implementera reglerna i större eller mindre utsträckning, för att göra det enklare för EU-företag och EU-länder att göra affärer med dem, men i slutändan är ansvaret ditt.

Som företag måste du kunna garantera och dokumentera följande när det gäller din IT-säkerhetsleverantör:

• Hur lösningen utvecklats och utformats

• Att företaget följer NIS2

• Att företaget följer GDPR

• ISO, PSSI, PQS, PAS och företagets avtalshantering

• Grundlig, opartisk granskning och validering av företagets dokumentation

• Historisk incidentdokumentation till EISA och datainspektionen

• Att företaget inte använder metadata från ditt företag

Allt detta måste du som företag kunna dokumentera – om inte IT-säkerhetsleverantören är europeisk, vill säga. I så fall måste den kunna dokumentera och redogöra för allt ovanstående – och viktigast av allt är att IT-säkerhetsleverantören har ansvaret, så att du kan fokusera på resten: utbildning av anställda, kontinuitet i verksamheten och riskanalys, bara för att nämna något.

Torben Clemmensen, it-säkerhetsspecialist och regional director för Nordeuropa på Tehtris

Men det innebär också att det kommer att finnas ett A-lag och B-lag när det gäller IT-säkerhetsleverantörer. För även om de stora men utomeuropeiska säkerhetsleverantörerna definitivt levererar utmärkta lösningar för att skydda ditt företag, så är det du som är ansvarig för deras datahantering – till skillnad från om du väljer en av de många europeiska leverantörerna, för då är det lite mindre EU-policy att hålla reda på.

REKLAMSAMARBETE

Visste du detta om Ransomware?

Ransomware har blivit en alltmer akut fråga som berör företag i alla storlekar och ingen organisation är immun mot dess följder. Vad som kanske inte är lika känt är att Ransomware omfattar flera olika typer av attacker. Samtidigt fortsätter Ransomware-incidenter att utvecklas och anpassa sig till nya förhållanden. Från krypteringsbaserad Ransomware till dubbel och nu till och med trippel utpressning. Trots att vi har nått år 2024 är det många organisationer som fortfarande förlitar sig på föråldrade anti-ransomware-kontroller och tankesätt.

FLER NYHETER

C-Resiliens blir CR-Group

– Det går nästan inte att överskatta behovet av cybersäkerhet i samhället idag. Bakom namnet CR Group finns företag, individer och teknologier som dagligen...

REKLAMSAMARBETE

Addici Security rekryterar områdeschef

Johan Kihl har arbetat inom säkerhetsbranschen i över 25 år och kommer närmast från rollen som operation development manager.– På Addici Security &...

REKLAMSAMARBETE

MSP:er, har ni tagit på er egen syrgasmask innan ni hjälper era kunder med it-säkerhet?

Det här är en opinionstext. Åsikter som uttrycks är skribenternas egna.It-säkerhet är en komplex fråga och med tanke på större lagkrav, EU-direktiv, loggningskrav och...

Svenska företags beredskap mot cyberhot kritiseras i ny rapport

Under det senaste året har flera stora och uppmärksammade attacker vållat skada på såväl svenska företag, som störningar hos offentlig sektor, myndigheter och civilsamhälle,...

REKLAMSAMARBETE

Ny boendesprinkler ska förhindra bostadsbränder

Andra förbättringar inkluderar en inbyggd batteribackup och en kommunikationsmodul som hanterar tekniska och skarpa larm som kan kopplas till olika larmsystem. Dessutom har installationen...

Regeringen kraftsamlar för att stoppa den kriminella ekonomin

De myndigheter som berörs är myndigheter med ansvar att ta in skatt, tull och obetalda skulder, regelefterlevnad på arbetsmarknaden, besluta om ersättningar och bidrag...

Nytt centrum för krigsspel vid Försvarshögskolan

– Genom att samla Försvarshögskolans verksamhet inom krigsspel kan vi skapa synergier och få ett större genomslag i den här snabbt växande sektorn, både...

Tele2 Samarbete ska förhindra att känslig data lämnar landet

En av de största fördelarna med Tele2 Samarbete är att all datahantering och lagring utförs i Sverige av en svensk leverantör, vilket ger digital...

Addsecure utökar ISO 27001-certifiering

ISO 27001-certifieringen är en internationellt erkänd standard som ger ett systematiskt tillvägagångssätt för att hantera känslig företagsinformation och säkerställa dess konfidentialitet, integritet och tillgänglighet...

Många företag överväger att lägga ned eller flytta verksamheten på grund av brottsligheten

Under de senaste åren har brottsligheten kommit att bli ett av de största hoten mot näringsfriheten i Sverige. Trots det har endast en tredjedel...

Sammanslagning ger nordisk expert på fallskydd

AAK Safety är en norsk leverantör av fallskydds- och räddningsutrustning. Bolaget säljer skräddarsydda fallskyddslösningar utformade för att rädda liv och förhindra olyckor inom branscher...

AI kan göra cyberattackerna värre – men vi kan göra oss redo att möta hotet

Det här är en opinionstext. Åsikter som uttrycks är skribenternas egna.Vår senaste internationella undersökning bland företag med 100 till 5 000 anställda visade att...

Avarn Security Systems förstärker organisationen

Jonas Niklasson kommer närmast från rollen som distriktschef på Securitas Technology Sverige, och hade dessförinnan samma roll på Stanley Security Sverige. Jonas har även...

Cybersäkerhetsangrepp mot Sverige: Det nya normalläget

Det här är en opinionstext. Åsikter som uttrycks är skribenternas egna.Cybersäkerhetsangrepp kan inte längre beskrivas som någon ny företeelse som behöver analyseras eller utredas...