.png)
I den här bloggen får du veta mer om bakgrunden till och skälen bakom EU:s nya direktiv om nät- och informationssäkerhet 2 (NIS2). Detta är den första delen av en bloggserie i tre delar. Du får den bästa helhetsbilden av direktivet och hur din organisation bör reagera på det genom att läsa alla tre delarna.
Relaterad blogg: Del 2 - NIS2:s omfattning och huvudsakliga säkerhetskrav
Relaterad blogg: Del 3 - Få NIS2-kompatibilitet med Cyberday
Det ursprungliga direktivet om nät- och informationssäkerhet (NIS), som offentliggjordes 2016, var en viktig milstolpe för EU:s cybersäkerhet. Det blev den första EU-omfattande lagstiftningen som var inriktad på att hantera hoten mot cybersäkerheten. Det primära målet var att säkerställa en konsekvent och hög nivå av cybersäkerhet inom relevanta branscher i alla medlemsstater.
Även om direktivet lyckades förbättra cybersäkerheten, stötte det också på utmaningar under genomförandeprocessen. Dessa hinder ledde i slutändan till variationer i beredskapsnivån för cybersäkerhet bland medlemsstaterna. Det stod klart att det krävdes ytterligare insatser för att skapa ett enhetligt och motståndskraftigt cybersäkerhetslandskap i hela EU.
Som svar på utmaningarna i det ursprungliga NIS-direktivet och de ökade cyberhoten till följd av digitaliseringen och den ökande cyberbrottsligheten, ersätter EU-kommissionen NIS-direktivet. Det nya förslaget, NIS2-direktivet, syftar till att ta itu med utmaningarna i det ursprungliga NIS-direktivet genom att investera mer i följande aspekter:
NIS-direktivet gäller två olika kategorier av organisationer: leverantörer av samhällsviktiga tjänster (OES) och leverantörer av digitala tjänster (DSP).
OES avser organisationer som tillhandahåller tjänster som definieras som kritiska för att ekonomin och samhället som helhet ska fungera. Detta inkluderar kritiska infrastruktursektorer som vatten, transport och energi, samt tjänster som hälso- och sjukvård och digital infrastruktur.
DSP:er är organisationer som erbjuder specifika typer av digitala tjänster, främst sökmotorer online, marknadsplatser online och molntjänster.
För att kvalificera sig som en DSP måste en organisation tillhandahålla en eller flera av dessa tjänster och falla inom kategorin medelstora företag.
Det finns ett allmänt undantag för småföretag inom sektorn för digitala tjänster. Om en organisation har färre än 50 anställda och en omsättning på mindre än 10 miljoner euro betraktas den inte som en DSP och omfattas därför inte av NIS2. Om organisationen ingår i en större koncern måste de dock utvärdera personalstyrkan och omsättningen för hela koncernen.
Vi kommer att gå igenom NIS2:s omfattning och säkerhetskrav mer i detalj i de kommande inläggen i den här serien.
Relaterad blogg: Del 2 - NIS2:s omfattning och huvudsakliga säkerhetskrav
Relaterad blogg: Del 3 - Få NIS2-kompatibilitet med Cyberday
Implementering
Genomförandet av direktivet varierade mellan medlemsstaterna. Varje medlemsstat tillämpade direktivet på olika sätt, vilket ledde till inkonsekvenser mellan medlemsstaternas cybersäkerhetsnivåer. Bristen på konsekvens försvagade direktivets inverkan.
Beredskapsnivå
Olika medlemsstater hade olika beredskapsnivåer för direktivet. Vissa medlemsstater hade redan konsekventa och kraftfulla åtgärder för cybersäkerhet, medan andra hade mycket arbete kvar. Skillnaderna i utgångsläge ledde till skillnader när det gällde att uppnå en hög nivå av cybersäkerhet.
Definiera OES:er
Medlemsstaterna var tvungna att besluta vilka organisationer som skulle definieras som OES. Detta visade sig vara en svår process på grund av sektorernas komplexitet. Detta ökade dessutom skillnaderna i cybersäkerhetsnivå mellan medlemsstaterna.
Krav på rapportering
Direktivet gav medlemsstaterna alltför stor kontroll över kraven på rapportering av incidenter som rör cybersäkerhet.
Otillräcklig omfattning
En av de första reaktionerna på NIS-direktivet var att det inte omfattade alla sektorer som tillhandahåller viktiga tjänster för ekonomin och samhället.
Även om NIS-direktivet till stor del bygger på det ursprungliga NIS-direktivet kommer NIS2 att innebära stora förändringar. I NIS2-direktivet införs en uppsättning förbättrade säkerhetskrav. Möjligheten att anpassa efterlevnaden av dessa krav togs bort, eftersom det ursprungliga NIS tillät sårbarheter på grund av den överdrivna flexibiliteten. NIS2 säkerställer att det inte finns något utrymme för sådana sårbarheter, eftersom det tydligt beskriver de regler som alla måste följa.
NIS2 kräver t.ex. att följande säkerhetsteman är väl organiserade i relaterade organisationer:
- Riskhantering för informationssäkerhet
- Upptäckt, hantering och rapportering av incidenter
- Utbildning i cybersäkerhet
- Kontinuitetsplanering för verksamheten / krishantering
- Säkerhet i leveranskedjan
- Kryptering av data
Läs mer om dessa teman och omfattningen av NIS2 i den andra delen: NIS2:s omfattning och huvudsakliga säkerhetskrav
Har du ytterligare frågor, skulle du behöva en annan hjälpartikel eller vill du ge feedback? Vänligen kontakta vårt team via cyberday eller chattrutan i det nedre högra hörnet.
