NIS2direktiv

NIS2direktivet, ofta kallat NIS2-direktivet, är en europeisk unionens direktiv som antogs 2022 för att stärka cybersäkerheten hos kritiska nätverks- och informationssystem i EU. Det ersätter och uppdaterar det tidigare NIS-direktivet (NIS1) med skarpare krav, bredare tillämpningsområde och stärkt tillsyn. Syftet är att öka motståndskraften mot cyberhot och minska riskerna inom viktiga sektorer.

Direktivet gäller för medlemsstaterna och riktar sig mot en bred uppsättning aktörer inom sektorer som energi, transport, bank- och finansinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, viktiga digitala tjänster, digital infrastruktur och vissa offentliga förvaltningsenheter. Det omfattar även leverantörer och tjänsteleverantörer som spelar en nyckelroll i dessa sektorer, inklusive vissa tillverkare av kritiska produkter.

NIS2 kräver att aktörerna implementerar riskbaserade cybersäkerhetsåtgärder som är lämpliga med hänsyn till riskbilden, inklusive styrning och ledning, incidenthantering, katastrofåterställning, affärskontinuitet och säkerhet i leverantörskedjan. Det betonar säkerhet inbyggd i organisationen och i relation till sina leverantörer samt ökad ansvarstagande hos ledningen.

Incidenter som har betydande påverkan ska rapporteras till behöriga myndigheter och CSIRTs utan onödigt dröjsmål och i enlighet med tidsfrister som fastställs i nationell lagstiftning; samarbete och informationsutbyte över gränserna uppmuntras. Sårbarheter i systemen följs upp av medlemsstaternas tillsynsmyndigheter, som har befogenhet att utöva tillsyn, utfärda åtgärder och påföljder.

Sammanfattningsvis syftar NIS2 till att harmonisera cybersäkerhetsstandarder i EU, minska fragmenteringen genom ett enhetligt regelverk för kritiska och viktiga aktörer samt förbättra motståndskraften mot cyberhot och leverantörskedje-risker.