NIS2 cyberlagstiftning för viktiga företag: vad är skillnaden mellan NIS1 och NIS2?

Från och med den 16 januari 2023 gäller det europeiska NIS2-direktivet för viktiga företag. I Nederländerna kallar vi det nya cyberdirektivet för NIB2. Det är efterföljaren till NIB1. Liksom andra EU-länder har Nederländerna fram till den 17 oktober 2024 på sig att anpassa sina nationella regler till den europeiska standarden. Vad kommer att förändras? Vi listar det åt dig.

Cyberlagen NIS gäller nu för samhällsviktiga verksamheter. Det innebär att den ursprungliga NIS1 gäller för dessa sektorer. Från och med 2024 kommer riktlinjerna även att gälla för "nyckelföretag". Detta kommer att förbättra cybersäkerheten i Nederländerna och i Europa bland ett större antal medelstora till stora företag.

Vad är NIS2-riktlinjerna?

NIS2 är efterföljaren till NIS1, som infördes för flera år sedan för viktiga företag. Det nya NIS2-direktivet (officiellt: Direktiv (EU) 2022/2555)) publicerades av ENISA, Europeiska unionens byrå för cybersäkerhet. I direktivet föreskrivs minimikrav på säkerhet samt skyldigheten att rapportera (allvarliga) incidenter till den nationella myndigheten eller det europeiska CSIRT-teamet (Computer Security Incident Response Team). Det nya direktivet ersätter det ursprungliga, som trädde i kraft 2016.

Detta är de viktigaste skillnaderna mellan NIS1 och NIS2:

• Direktivet gäller för fler sektorer
  NIS2 gäller för såväl väsentliga företag som större företag. Fler medelstora och stora företag måste börja följa direktivet. Dessutom kan den nederländska regeringen utse mindre företag med hög säkerhetsrisk som också måste börja följa direktivet.
• Lista över minsta grundläggande säkerhet
  Direktivet är mer konkret, tack vare en lista över minsta grundläggande säkerhet som företagen måste genomföra. Direktivet föreskriver en riskhanteringsstrategi.
• Indelning i väsentliga och viktiga sektorer
  Det nya NIS-direktivet delar upp företagen i viktiga och viktiga sektorer. Skillnaden mellan operatörer av viktiga tjänster och leverantörer av digitala tjänster försvinner.
• Ta itu med säkerheten i kedjan
  Företagen måste börja ta itu med säkerhetsriskerna i sin leveranskedja. Det inkluderar risker som skapas av leverantörsrelationer.
• Strängare tillsyn
  Nationella myndigheter tillåts striktare tillsyn och verkställighet. Det nya direktivet drar upp sanktionssystemen och rapporteringskraven i alla medlemsländer till lika(re).

Vad är viktiga företag?

NIS-direktivet gäller för samhällsviktiga verksamheter. Dessa sektorer är:

• Energi
• Dricksvatten
• Avloppsvatten
• Transport
• Bankverksamhet
• Finansiella marknader
• Digital infrastruktur
• Offentliga förvaltningar
• Hälso- och sjukvård
• Utrymme

Tips: Undrar du exakt vilka företag som är "väsentliga" eller "viktiga"? Ladda ner tabellen Sektorer som omfattas av NIB2 från CBS.

Det nya NIS2-direktivet kommer också att gälla för större företag. Dessa sektorer är:

• Post- och kurirtjänster
• Bearbetning och distribution
• Avfallshantering
• Digitala leverantörer
• Tillverkningsföretag
• Kemisk industri
• Livsmedelsindustrin

Skillnad i tillsyn mellan väsentliga och viktiga företag

Lokala myndigheter kommer att proaktivt övervaka nyckelföretag. Övervakning av nyckelföretag kommer att ske i efterhand, om det finns bevis för en incident.

Viktiga och väsentliga företag kommer att ha en skyldighet att rapportera och en omsorgsplikt. De måste införa säkerhet i sin leveranskedja och tydligt kommunicera hur de hanterar cyberincidenter.

Varför är den nya riktlinjen viktig?

Det nya NIS2-direktivet ska göra företagens nät- och informationssystem säkrare. På så sätt bör Nederländerna och hela Europeiska unionen bli mindre sårbara för cyberattacker.

Dilan Yeşilgöz-Zegerius (justitie- och säkerhetsminister) sa: "Vi är alltmer beroende av digitala processer, särskilt sedan coronan arbetar vi mer och mer hemifrån. Dessutom ser vi ett växande digitalt hot från både kriminella och statliga aktörer som, med ett krig vid Europas östra gräns, inte kommer att avta i nuläget. Därför är det nu nödvändigt att ta nästa steg för att höja nivån på cybersäkerheten i EU. Genom att göra detta kommer vi att förhindra att digitala incidenter stör vårt samhälle."

Minister Micky Adriaansens (ekonomiska frågor och klimat) tillägger: "Vi måste vara uppmärksamma på riskerna med cyberattacker. Konsekvenserna kan bli betydande, t.ex. tomma hyllor i butikerna eller avbrott i industriproduktionen. Att hantera digital säkerhet är fortfarande ett individuellt ansvar för företag och konsumenter. Men med denna lagstiftning kan vi ta ett steg för att säkerställa att nivån på cyber security går upp bland (medelstora) parter i viktigare sektorer."

Kommer du att bötfällas om du inte följer reglerna?

Företag som inte följer det nya direktivet kommer att få en varning, sedan en påminnelse och därefter riskerar de höga böter. Det maximala bötesbeloppet är 10 miljoner euro eller två procent av den totala årsomsättningen för medelstora och stora företag.

Förhindra skador från cyberbrottslighet: vad kan du göra?

Även utan en cyberlag som NIB2 i Nederländerna är det viktigt att ta cyberbrottslighet på allvar. Du skyddar ditt företag med t.ex:

• Säkerhet genom design
  Börja varje möte med (digital) säkerhet. Vilka åtgärder vidtar ni för att förhindra missbruk och vilka är riskerna och sårbarheterna? Genom att tänka på detta som standard skapar du (nya) system som är säkrare som standard.
• Säker anslutning
  Använd en säker anslutning för ditt företag. Förhindra att andra får oönskad insyn eller till och med stjäl data. Den säkra anslutningen är tillgänglig över hela världen, när som helst och var som helst.
• Utbilda anställda i cybersäkerhet
  Den som inte vet vilka riskerna är kan omöjligt skydda sig mot dem. Utbilda medarbetarna och se till att de känner igen sårbarheter och inte går i fällor när cyberbrottslingar gillrar dem.

Hur EyeOn använder Guardey för att uppfylla NIS2

Företag som måste följa NIS2 är skyldiga att erbjuda security awareness utbildning till sina anställda.

Vår kund Gezamenlijke Brandweer Amsterdam (en nederländsk brandkår) är en viktig organisation och måste därför följa NIS2-förordningen. För att säkerställa att deras anställda är förberedda på att känna igen cyberhot använder de Guardey för att erbjuda security awareness utbildning. Varje vecka spelar deras team en kort 3-timmars utmaning som hjälper dem att långsamt bygga upp cyber security kunskap.

Läs hela artikeln här

Gör det enkelt med Guardey

Vi på Guardey förstår att du kan ha mycket att tänka på. Hur följer ni NIS2, vilka är sårbarheterna på ert företag och hur förhindrar ni ett hack, dataintrång eller annan cyberbrottslighet?

Det är därför vi vill göra det enkelt för dig. Med Guardey väljer du en komplett cyber security -lösning på en gång. Vi är plug & play, för både en säker anslutning, mot skadlig programvara och för att utbilda dina medarbetare professionellt (men roligt!).

Så vill du förbättra ditt företags cyber security och följa det nya NIS2-direktivet? Upptäck vår lösning eller ställ dina frågor till oss. Vi förklarar gärna hur du kan skydda dig med Guardey på ett lättillgängligt, enkelt och prisvärt sätt.