Många svenska organisationer känner till att NIS2-direktivet påverkar dem, men långt ifrån alla har omsatt kraven i praktiken. Policys uppdateras, workshops planeras och vissa väntar fortfarande på att se hur tillsynen kommer att fungera innan de agerar fullt ut.
Men en fråga avslöjar ofta den största utmaningen:
Hur ser processen ut från att en allvarlig cybersäkerhetsincident upptäcks tills en rapport skickas till MSB?
För många organisationer är svaret oklart. Problemet handlar sällan om teknik – utan om processer, ansvar och samordning.
Enligt NIS2 måste organisationer rapportera betydande incidenter i tre steg:
Det är framför allt 24-timmarskravet som ställer till problem. Kravet visar om organisationens säkerhetsarbete, ledning och beslutsvägar faktiskt fungerar tillsammans när en incident inträffar.
Innan en incident kan rapporteras måste organisationen avgöra om den är rapporteringspliktig enligt NIS2.
Direktivet anger faktorer som:
I teorin är detta tydligt. Under en pågående incident, med begränsad information och tidspress, är det betydligt svårare.
Många organisationer saknar ett enkelt beslutsstöd för att snabbt avgöra om en incident ska rapporteras. Resultatet blir ofta förseningar medan flera personer försöker nå samsyn.
NIS2 lägger ett tydligt ansvar på ledningen. Det innebär att beslutsfattare måste kunna involveras snabbt när en incident kräver rapportering.
I praktiken saknas ofta en testad eskaleringsväg mellan säkerhetsteamet och ledningen. Många incidentplaner innehåller formuleringar som:
"Informera ledningen."
Men vem ska kontaktas? Hur? Och vilken information behövs för att fatta beslut snabbt?
När detta inte är definierat uppstår förvirring istället för handling.
MSB förväntar sig inte att all information finns tillgänglig efter 24 timmar. Däremot förväntas organisationen kunna beskriva:
Att sammanställa korrekt information under tidspress kräver förberedelse. Den första gången organisationen genomför en sådan rapportering bör inte vara under en verklig incident.
Många investeringar inom cybersäkerhet fokuserar på att förebygga och upptäcka attacker. Incidentrapportering uppfattas ofta som en administrativ uppgift.
Men enligt NIS2 är brister i rapporteringen en egen regelöverträdelse, oavsett hur väl den tekniska incidenthanteringen fungerade. Tillsynsmyndigheter kan ingripa även mot organisationer med hög teknisk säkerhetsnivå om rapporteringskraven inte följs.
För att uppfylla NIS2:s krav på incidentrapportering bör organisationer:
Den största utmaningen med NIS2:s 24-timmarsregel handlar inte om teknik. Den handlar om organisationens förmåga att samordna människor, processer och beslutsfattande under tidspress.
Organisationer som redan nu testar sina rutiner för incidentrapportering enligt NIS2, tydliggör ansvar och övar sina processer har betydligt bättre förutsättningar att uppfylla kraven när en allvarlig cybersäkerhetsincident inträffar.
Berätta vad ni jobbar med. Vi återkommer inom en arbetsdag med konkreta nästa steg, inget säljmöte, bara substans.
