Experten om regeringens NIS2-plan: ”Tror man har underskattat…”

 – Samtliga kommuner och regioner, inklusive kommunala bolag och så vidare omfattas exempelvis, berättar Johan Caripson på Globalconnect

 Regeringens utredning var omfattande och landade till sist på 522 sidor.

 – Och då är inte allt med. Exempelvis bestämmelser kring Sekretesslagen och vissa analyser var inte med nu utan ska komma 16 september.

 NIS2 innebär strängare säkerhetskrav och utökade skyldigheter. Inte minst när det gäller snabb incidentrapportering och att regelbundet bedöma och förbättra sin säkerhet. Det var sagt att NIS2 skulle träda i kraft i oktober. Men nu har datumet skjutits fram till den 1 januari 2025.

 – Jag tycker fortfarande att det är väldigt lite tid. Särskilt om du beaktar att det fullständiga underlaget inte kommer finnas på plats före september. Det är en gedigen och bra rapport regeringen tagit fram men jag tror man har underskattat tiden det tar att införa det här.

Stor förändring som påverkar många

 Eftersom många fler branscher och verksamheter omfattas av NIS2 än det ursprungliga direktivet innebär den nya lagen en stor förändring för många.

 – Samtidigt har de verksamheterna som inte omfattas av NIS tidigare förmodligen varken budget eller personal för att leva upp till den här förändringen redan nu. Det är en sak att implementera ett nytt direktiv men det är en helt annan sak att sedan klara av att efterleva det.

 Caripson ser framför sig att NIS2 ganska snabbt kommer få effekt på utformningen av upphandlingar.

 – Exempelvis när du ska upphandla ett nytt it-system framåt kommer det innehålla betydligt mer långtgående krav om underhållsplan och sådana saker.

Just att upphandla rätt kan vara utmanande. I synnerhet för mindre kommuner. Här har MSB ett väldigt viktigt uppdrag i att utbilda de mindre kommunerna.

 Det är svårt att uppskatta hur mycket det tid och pengar det kommer kosta en verksamhet för att leva upp till NIS2.

 – Det är i princip omöjligt. Dels eftersom ingen verksamhet ser ut precis som någon annan och dels eftersom det här är ett nytt direktiv. Det finns ingen handbok för att bli NIS2-compliant.

Påverkar inte de minsta bolagen

 Bolag som omsätter mindre än tio miljoner euro om året kommer inte att påverkas av direktivet.

– Men om du driver ett litet bolag som är en leverantör till ett bolag som omfattas av NIS2 så tror jag det är klokt att ändå försöka leva upp till det här regelverket.

 Hur börjar man?

 – Läs utredningen. Åtminstone de delar som berör er verksamhet. Se sedan över era processer och identifiera vad som är affärskritiskt. Se över era beroenden och försök skapa er en tydlig bild av er nuvarande position. Annars är det svårt att veta var man ska framåt.

 Caripson understryker att det är viktigt att inte se NIS2 som ett projekt som man blir klar med.

 – Det handlar inte om en checklista där du kan säga ”Nu har vi installerat ett säkert nätverk” och nu är vi klara. Utan snarare ”Hur säkerställer vi att det här nätverket är säkert om fem år?. Det kräver ett förändrat mindset.