Försenad implementering av NIS2-direktivet i Sverige

NIS2-direktivet syftar till att höja säkerheten i nätverks- och informationssystem inom EU. Medlemsländerna skulle ha implementerat direktivet i sin nationella lagstiftning senast den 17 oktober 2024.

I Sverige har processen försenats. Enligt Myndigheten för samhällsskydd och beredskap (MSB) förväntas den nya cybersäkerhetslagen, som ska införliva NIS2-direktivet, börja gälla tidigast under sommaren 2025. Under tiden gäller de tidigare NIS-reglerna, vilket innebär att vissa verksamheter ännu inte omfattas av de skärpta kraven.

För berörda sektorer är det viktigt att förbereda sig för de kommande förändringarna. NIS2 ställer tydligare krav på riskanalyser, säkerhetsåtgärder och ledningens engagemang i cybersäkerhetsarbetet. Dessutom kommer fler sektorer att omfattas jämfört med tidigare.

Hösten 2024 publicerade EU-kommissionen en så kallad genomförandeförordning, som specificerar NIS2-direktivets krav på riskhanteringsåtgärder och incidentrapporteringskrav för vissa verksamhetsutövare i väntan på nationell lagstiftning. Dessa regler började gälla den 7 november 2024. Det innebär att vi nu befinner oss i ett mellanrum då NIS 2 har trätt i kraft på Europanivå men det inte finns nationella lagar anpassade enligt direktivet. Så vad gäller då?

PTS har tagit fram en guide som förklara vilka det påverkar och hur detta påverkar under denna övergångstid. Läs mer här.

Generellt kan det sammanfattas med att de verksamheter som omfattades av tidigare NIS omfattas nu även av NIS2-kraven. För elteknikbranschen är påverkan liten, men vissa kunder kan ha krav som förs vidare till entreprenörer vid upphandlingar. NIS2-direktivet gäller ännu inte för allmänna elektroniska kommunikationsnät. Det blir tillämpligt först när cybersäkerhetslagen träder i kraft och LEK-regelverket ändras. Detsamma gäller nya tillsynsverktyg och sanktioner i direktivet.