Praktisk hjälp med NIS2 för företag i Stockholm

Grundskyddet för hela företaget: virusskydd, brandvägg och säkra inställningar.

Uppdateringar enligt plan, ett av de mest konkreta kraven i NIS2.

Säkerhetskopior som tål ett angrepp och går att återställa på riktigt.

En tekniker kartlägger nuläget och genomför det praktiska som NIS2 och kundernas säkerhetsformulär kräver: tvåfaktor, uppdateringar, backup som går att återställa, behörigheter och en incidentplan på en sida som går att visa upp. 1 280 kr/tim exkl. moms.

Lagtext möter serverskåp Gäller NIS2 vårt företag?

De flesta småföretag med några få till ett trettiotal anställda omfattas inte direkt av NIS2. Men deras kunder gör det, och då rinner kraven nedåt. Plötsligt kommer ett formulär från en energibolagskund, ett vårdföretag eller en kommun med frågor om tvåfaktor, backup, incidenthantering och vem som har adminbehörighet. Andra verksamheter ligger i en sektor som lagen räknar upp och är osäkra på om storleken räcker för att omfattas. Gemensamt för båda är att rubrikerna i media låter dramatiska, medan själva arbetet till stor del handlar om grundläggande IT-säkerhet som borde finnas ändå.

Teknikern börjar med en genomgång av hur det ser ut i dag: konton, datorer, nätverk, molntjänster och säkerhetskopior. Resultatet blir en åtgärdslista sorterad efter risk och insats, med det som skyddar mest överst. Sedan införs åtgärderna, ofta i små steg så att arbetsdagen fortsätter som vanligt. Allt dokumenteras, så att ni kan svara på kundens frågor med fakta i stället för förhoppningar. Om ni omfattas av lagen och vad den kräver juridiskt bedömer ni med stöd av tillsynsmyndighetens vägledning eller en jurist. Teknikern levererar den tekniska delen, och säger tydligt var gränsen går.

• Nuläge i klartext Vad som finns, vad som saknas och vad som är viktigast att göra först
• Åtgärder, inte pärmar Tvåfaktor, backup och uppdateringar som fungerar i vardagen
• Underlag att visa upp Dokumentation för kundernas säkerhetsfrågor och er egen riskhantering

NIS2 i korthet

NIS2-direktivet är EU:s regelverk för cybersäkerhet i verksamheter som samhället är beroende av. Det ersätter det första NIS-direktivet och omfattar betydligt fler sektorer och fler företag. I Sverige genomförs det genom cybersäkerhetslagen. Verksamheter som omfattas delas in i väsentliga och viktiga, ska anmäla sig till tillsynsmyndigheten, hantera sina cyberrisker systematiskt och rapportera betydande incidenter. Ledningen bär ansvaret, och lagen ger möjlighet till sanktionsavgifter. Det här är en förenklad sammanfattning. För frågan om just ert företag omfattas, och hur, är tillsynsmyndighetens vägledning och vid behov en jurist rätt källa.

Lagtexten, vägledningen och status i Sverige

Namnet skrivs ibland NIS 2-direktivet, med mellanslag, men det är samma regelverk. Direktivets officiella beteckning är (EU) 2022/2555, och hela texten finns på svenska i EU:s rättsdatabas EUR-Lex. Den som vill läsa själv hittar de tio riskhanteringsåtgärderna i artikel 21, och det är den artikeln de flesta säkerhetsformulär bygger på. ENISA, EU:s cybersäkerhetsbyrå, ger ut tekniska vägledningar kopplade till NIS2 som är användbara även för den som inte omfattas. Status i Sverige är att direktivet har förts in genom cybersäkerhetslagen, efter att tidsfristen inom EU gick ut i oktober 2024. Vilken myndighet som har tillsyn över er beror på sektor, och det är den myndighetens föreskrifter som styr detaljerna.

Varför småföretag påverkas ändå

Den som omfattas av NIS2-direktivet måste ta hänsyn till säkerheten hos sina leverantörer. Det betyder att en redovisningsbyrå med en kommun som kund, en underleverantör till ett energibolag eller en IT-konsult som har inloggning hos en vårdgivare kan få frågor de aldrig fått förut. Formulären ser olika ut men frågorna liknar varandra. Har alla tvåfaktor? Testas backupen? Hur snabbt installeras säkerhetsuppdateringar? Vem tar bort behörigheter när någon slutar? Finns en plan för incidenter? Ett ärligt nej på några av dem är vanligt, och det går att ändra.

Från lagkrav till konkreta IT-åtgärder

• Åtkomstkontroll: tvåfaktor på alla konton, separata konton för administration och en rutin för när anställda börjar och slutar.
• Kontinuitet: backup enligt principen tre kopior, två medier, en utanför huset, varav en som inte kan raderas från nätverket, plus ett återställningstest.
• Cyberhygien: uppdateringar enligt plan, skydd mot skadlig kod och datorer som hanteras centralt, till exempel med Microsoft Intune.
• Incidenthantering: loggar som sparas tillräckligt länge och en plan som säger vem som gör vad.
• Leveranskedjan: en lista över vilka leverantörer som har åtkomst till era system.
• Utbildning: en genomgång av hur nätfiske och fakturabedrägerier ser ut i dag.

Så går en nulägesgenomgång till

Genomgången följer samma spår som de flesta säkerhetsformulär, fast med verkliga svar. I Microsoft 365 kontrolleras om tvåfaktor är påslaget för alla, vilka som har administratörsroller, om äldre inloggningsmetoder som kringgår tvåfaktor fortfarande är tillåtna och hur länge loggarna sparas. På datorerna kontrolleras versionen av Windows eller macOS, om disken är krypterad med BitLocker eller FileVault och om användarna är lokala administratörer. I nätverket granskas brandvägg och router, att gästnätet är skilt från kontorets och hur fjärråtkomst är ordnad. För backupen ställs tre frågor: vad säkerhetskopieras, var hamnar kopian och när återställdes något senast. Till sist listas leverantörer som har åtkomst till era system. Resultatet blir en lista med varje punkt markerad som klar, delvis klar eller saknas, och en uppskattning av vad det tar att åtgärda.

Brister vi ofta hittar hos småföretag

Ett gemensamt administratörskonto som flera känner till. Konton för anställda som slutade för ett år sedan och fortfarande fungerar. En backup som aldrig har återställts på prov, och som visar sig sakna den viktigaste mappen. En router vars programvara inte uppdaterats sedan den monterades. Alla användare som lokala administratörer på sina datorer, vilket gör att skadlig kod får fritt fram. Ingen av bristerna är svår att åtgärda, men tillsammans är de precis det som säkerhetsformulären letar efter.

Det här kan ni göra själva redan nu

• Gå igenom listan över användare i Microsoft 365 och stäng konton för personer som slutat.
• Kontrollera att tvåfaktor är påslaget för alla, inte bara för de flesta.
• Be den som sköter backupen att återställa en enda fil från förra månaden, och se hur lång tid det tar.
• Skriv ned vem som ska ringas om datorerna slutar fungera en måndagsmorgon.

Vad som påverkar priset, och var gränsen går

Tiden beror på antalet användare, datorer och system och på hur mycket som redan finns på plats. Ett kontor med tolv anställda i Microsoft 365 och en molnbackup är ett mindre jobb än ett företag med egen server, flera kontor och äldre nätverksutrustning. Efter nulägesgenomgången får ni därför en offert för de större stegen. Teknikerns roll är den tekniska: att införa, dokumentera och förklara. Lagtolkning, avtal och anmälan till myndigheten ligger hos er, med stöd av jurist och tillsynsmyndighet där det behövs.