NIS2: risker och möjligheter för företag

Inledning och hänvisningar till lagstiftning

NIS är en förkortning som står för ”nätverks- och informationssäkerhet”.

Med denna förkortning avsåg Europeiska gemenskapen att beteckna det lagstiftningsarbete som syftade till att fastställa en enhetlig strategi för cybersäkerhet i alla EU:s medlemsstater.

År 2018 antogs den första europeiska förordningen, kallad NIS1 (EU-direktiv 2016/1148), som införlivades på nationell nivå genom lagdekret nr 65 av den 18 maj 2018.

I NIS-förordningen föreskrivs även att en ”nationell strategi för cybersäkerhet” ska antas genom inrättandet av det italienska CSIRT-teamet (Computer Security Incident Response Team), som har tekniska uppgifter som rör förebyggande, hantering och övervakning av cyberincidenter i samarbete med europeiska CSIRT-team.

NIS1 ersattes därefter av NIS2 (EU-direktiv 2022/2555), vilket införlivades på nationell nivå genom lagdekret nr 138 av den 4 september 2024.

NIS 2 syftar till att övervinna bristerna i NIS 1, som gav medlemsstaterna alltför stort utrymme för skönsmässig bedömning vid införlivandet, vilket ledde till att harmoniseringsmålet inte uppnåddes, och som dessutom uteslöt vissa kategorier av enheter som borde ha omfattats av regleringen på grund av deras betydelse för den europeiska marknaden.

Dessutom infördes NIS2 som en reaktion på den ökade digitaliseringstakten som skett i alla medlemsstater och som påskyndats av pandemin, vilket har utökat ytan för cyberattacker utan att säkerhetssystemen har förstärkts i motsvarande grad.

Slutligen är ett annat mål med NIS2 att ålägga operatörer av samhällsviktiga och viktiga tjänster samt leverantörer av digitala tjänster att vidta lämpliga säkerhetsåtgärder och att omedelbart rapportera incidenter till behöriga myndigheter och användarna av deras tjänster.

Det nya direktivet har anpassats till andra specifika europeiska sektorsbestämmelser, bland annat:

- direktivet om digital operativ motståndskraft inom finanssektorn (DORA). Detta är den förordning som antogs den 10 november 2022 i syfte att stärka säkerhetsåtgärderna för att främja finanssektorns motståndskraft och cybersäkerhet genom införandet av en rad obligatoriska säkerhetsåtgärder som garanterar informationens integritet och tjänsternas cybersäkerhet;

- direktivet om kritiska infrastrukturers motståndskraft (CER); syftar till att säkerställa rättslig klarhet och enhetlighet mellan de olika direktiven.

De berörda företagen har delats in i:

• Viktiga sektorer (energi, transport, hälso- och sjukvård, vattenförsörjning, offentlig förvaltning, finans, rymd, digital infrastruktur)
• Viktiga sektorer (forskning; kemikalier; livsmedel; industriproduktion; digitala tjänsteleverantörer; posttjänster; avfall)
• Offentliga organ: Centralförvaltningen (konstitutionella och konstitutionellt relevanta organ; statsministerns kansli och ministerier; skattemyndigheter; Oberoende ) | Regional förvaltning (regioner och autonoma provinser) | Lokal förvaltning (storstäder; kommuner med fler än 100 000 invånare; regionala huvudstäder; lokala hälsovårdsmyndigheter) | Andra offentliga enheter (ekonomiska tillsynsorgan; leverantörer av ekonomiska tjänster; föreningar; leverantörer av välfärds-, fritids- och kulturtjänster; forskningsorgan och forskningsinstitutioner; experimentella zooprofylaktiska institut) | Andra typer av enheter (enheter som tillhandahåller lokala kollektivtrafiktjänster; utbildningsinstitutioner som bedriver forskningsverksamhet; enheter som bedriver verksamhet av kulturellt intresse; interna företag; portföljbolag och offentligt kontrollerade företag)
• Leverantörer: organisationer som tillhandahåller kritiska tjänster till enheter som omfattas av NIS2 måste stärka sin digitala säkerhet, även om de uttryckligen ingår i de obligatoriska Branscher.

Innehållet i NIS2

De allmänna skyldigheter som följer av innehållet i NIS2 kan sammanfattas utifrån fyra huvudpelare:

Styrning: Ledningen måste godkänna de riskhanteringsåtgärder som organisationen vidtagit och utvärdera deras effektivitet över tid: delta regelbundet i utbildning om cybersäkerhetsfrågor och erbjuda liknande utbildning till de anställda.

Riskhantering: Organisationen måste bedöma säkerhets- och nätverksrisker och vidta lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att förebygga eller minimera konsekvenserna av incidenter för mottagarna av dess tjänster.

Kontinuitet i verksamheten: Organisationen måste införa lösningar som säkerställer kontinuitet i verksamheten (t.ex. säkerhetskopiering, katastrofåterställningsplan och rutiner för krishantering) i syfte att minimera konsekvenserna av eventuella avbrott i de tjänster som tillhandahålls.

Leverantörskedjan: Företaget måste utvärdera sårbarheterna hos varje direktleverantör samt den övergripande kvaliteten på leverantörernas produkter och deras rutiner för cybersäkerhet. Utvärderingen ska omfatta IKT-leverantörer och andra kritiska leverantörer som kan orsaka störningar i den tjänst för vilken organisationen har inkluderats i NIS2-området.

Företagen kommer därför att vara skyldiga att kunna mäta och rapportera om:

• Riskanalys och säkerhetsriktlinjer för informationssystem
• Rutiner för incidenthantering
• Lösningar för verksamhetskontinuitet (säkerhetskopiering och katastrofåterställning) samt rutiner för krishantering och kommunikation
• Riktlinjer för säkerhet i leveranskedjan (leverantörer och tjänsteleverantörer)
• Säkerhet vid införskaffande, utveckling, underhåll och förvaltning av informationssystem samt hantering av sårbarheter i nätverk

Tidsplan för NIS2

Företag och offentliga myndigheter måste göra en bedömning för att ta reda på om de omfattas av skyldigheterna enligt NIS2-direktivet.

Från den 1 december 2024 till den 28 februari 2025 ska företagen ha autentiserat sig på ACN:s (Nationella cybersäkerhetsmyndigheten) portal med hjälp av sina SPID-inloggningsuppgifter. Under denna period ska användare som är utsedda till /Registreringsservice.

Företagen är särskilt skyldiga att:

• Ange om företaget ingår i en koncern och uppge moderbolagets skatteregistreringsnummer, om tillämpligt.
  
• Ange de närstående företagen och deras skatteregistreringsnummer.
  
• Ange de ATECO-koder som beskriver enhetens verksamhet.
• Ange tillämpliga sektorsspecifika EU-förordningar.
• Ange omsättning, balansomslutning och antal anställda för att fastställa företagets kategori.
• Ange vilka typer av enheter företaget tillhör.

Senast den 17 januari 2025 ska operatörer av toppdomänregistren, leverantörer av DNS-tjänster och domänregistreringstjänster, molntjänstleverantörer, datacenter, leverantörer av innehållsleveransnätverk, leverantörer av hanterade tjänster, leverantörer av hanterade säkerhetstjänster samt leverantörer av online-marknadsplatser, online-sökmotorer och plattformar för sociala nätverk ha registrerat sig på plattformen.

Senast den 31 mars 2025 hade ACN sammanställt en förteckning över samhällsviktiga och viktiga enheter utifrån de registreringar som inkommit via plattformen.

Mellan den 1 april 2025 och den 15 april 2025 meddelade ACN de berörda enheterna om de hade tagits upp på förteckningen över väsentliga eller viktiga enheter.

Senast den 15 april 2025 var de enheter som mottagit meddelandet skyldiga att genom ett särskilt beslut utse en enhet som ansvarar för att fullgöra förordningens skyldigheter.

Därefter måste de enheter som omfattas av direktivet uppfylla ytterligare krav:

• senast den 1 januari 2026; skyldighet att rapportera incidenter
• senast den 1 oktober 2026; skyldigheterna avseende administrativa organ och säkerhetsåtgärder måste vara uppfyllda

Varje år kommer ACN att uppdatera förteckningen över berörda enheter. Företag och offentliga myndigheter kommer att ha möjlighet att registrera sig varje år, mellan januari och februari, om de anser sig tillhöra de berörda enheterna.

Risker för företag, men också möjligheter

Efter det att NIS2 har trätt i kraft och de berörda operatörerna har identifierats får de behöriga myndigheterna genomföra övervakning och stickprovskontroller för att kontrollera att direktivet efterlevs. Vid bristande efterlevnad kommer de berörda företagen att åläggas påföljder.

Påföljderna är mycket stränga: för stora företag upp till 10 miljoner euro eller 2 % av den globala omsättningen; för medelstora företag upp till 7 miljoner euro eller 1,4 % av den globala omsättningen.

Även om efterlevnaden av bestämmelserna kräver en betydande insats och investeringar från företagens sida, måste man också inse att bestämmelserna i sig syftar till att erbjuda en väsentlig lösning på problemet med cyberattacker – ett problem som italienska företag fortfarande är mycket utsatta för och som de ofta tenderar att tysta ner av image-skäl. I ekonomiska termer uppskattas den genomsnittliga skadan för varje enskild cyberattack till mer än 2 miljoner euro, oavsett företagets omsättning.

Hur ERA kan hjälpa till med hanteringen av NIS2-efterlevnaden

Trots allt detta – vilket skulle kunna tyda på att företagen är mycket intresserade av och engagerade i frågor som rör cybersäkerhet – är det inte ovanligt, särskilt bland små och medelstora företag, att stöta på företag som har gjort mycket lite eller ingenting Om oss frågor och Om oss för närvarande inte kan redogöra för sin situation när det gäller de risker de utsätts för, varken ur ett tekniskt perspektiv eller vad gäller efterlevnaden av de olika gällande bestämmelserna.

Vissa företag hanterar frågan om cybersäkerhet genom försäkringsskydd. Försäkringsbolagen är dock ofta ovilliga att erbjuda denna typ av skydd till företag som aldrig har vidtagit konkreta åtgärder på cyberområdet. Detta beror på att det inte finns någon tillförlitlig metod för att exakt uppskatta de skador som orsakas av en cyberattack. Därför fokuserar ”NIS2-paket” på tjänster för bedömning av cyberrisker, men överlåter åt företagen att vidta nödvändiga åtgärder för att åtgärda eventuella brister. ERA kan erbjuda en mer omfattande tjänst genom att förlita sig på ett nätverk av högt kvalificerade leverantörer till mycket konkurrenskraftiga villkor.

Närmare bestämt består ERA:s stöd av följande:

• En utvärdering av företagets organisatoriska och tekniska struktur med hjälp av självutvärderingsformulär som bygger på fördefinierade indikatorer;
• Informations- och utbildningskurser, med grundkurser för all personal och fördjupningsmoduler för ledande befattningshavare och mellanchefer, i enlighet med NIS2-riktlinjerna;
• Särskilda och högkvalitativa tester avseende sårbarhetsanalys, hantering av nätfiske samt riskbedömning av utpressningsprogram;
• Stöd från engagerade konsulter under saneringsfasen efter utvärderingen;
• Specialiserat stöd från engagerade konsulter som hjälper till att styra strategiska beslut inom cybersäkerhet.

Vår lösning omfattar en analys av efterlevnaden av NIS2-förordningen, vilket utan tvekan är den mest brådskande frågan, men vi kan även bistå kunden i projektledningen under åtgärdsfasen, det vill säga den fas då kunden måste åtgärda de olika ”brister” som identifierats under diagnostikprocessen. Det är just i denna fas som vissa företags svårigheter blir mest uppenbara, både när det gäller intern kompetens och tillgången på tid och resurser.