En säkerhetspolicy stoppar inget cyberangrepp. En ifylld incidentmall håller inte vattenförsörjningen i gång och en revisionsrapport återställer inte ett journalsystem. Ändå finns en uppenbar risk att Sveriges genomförande av EU:s NIS2-direktiv bedöms efter hur många dokument som produceras snarare än efter hur väl samhällsviktig verksamhet faktiskt klarar ett angrepp.
NIS2 behövs. Det tidigare regelverket omfattade för få verksamheter och cybersäkerhet har alltför ofta behandlats som en teknisk detalj för it-avdelningen. Det nya direktivet omfattar betydligt fler sektorer och ställer krav på bland annat incidenthantering, säkerhetskopiering, kontinuitetsplanering, leverantörssäkerhet, utbildning, behörighetsstyrning och flerfaktorsautentisering när det är lämpligt.
Det är inte meningslös byråkrati. Rätt utförda är flera av åtgärderna själva grunden för motståndskraft. Problemet uppstår om staten nöjer sig med att kräva dem utan att säkerställa att berörda verksamheter har kompetens, resurser och praktiskt stöd för att genomföra dem.
Ledningen kan inte längre ducka
En av NIS2:s viktigaste förändringar är det uttryckliga ledningsansvaret. Ledningen ska godkänna och övervaka organisationens åtgärder för cybersäkerhetsriskhantering och genomgå utbildning. Det kan ge frågan den prioritet och budget som länge har saknats.
Direktivet skärper också incidentrapporteringen. Vid betydande incidenter ska en tidig varning lämnas inom 24 timmar, en incidentanmälan inom 72 timmar och som huvudregel en slutrapport senast en månad efter incidentanmälan. Sådan rapportering kan ge staten en bättre lägesbild och göra det möjligt att varna andra innan en angreppskampanj sprids.
Men rapportering tar tid mitt i en kris. Om samma personer samtidigt ska isolera system, säkra reservdrift, kommunicera med användare och försöka förstå vad som har hänt måste processen vara enkel och stödet snabbt tillgängligt. Annars riskerar rapporteringsplikten att konkurrera med den akuta hanteringen i stället för att stärka den.
Små aktörer påverkas även när de inte omfattas direkt
Det är missvisande att hävda att alla små företag automatiskt träffas av NIS2. Huvudregeln är att direktivet omfattar medelstora och stora organisationer i de utpekade sektorerna, även om vissa verksamheter kan omfattas oavsett storlek.
De minsta aktörerna kan ändå påverkas indirekt. Större kunder kan ställa säkerhetskrav i avtal och upphandlingar, och en liten leverantör kan vara en kritisk länk i en större organisations leverantörskedja. För ett företag med få anställda kan krav på riskanalyser, incidentrutiner, leverantörskontroller och kontinuitetsplaner bli kännbara även när kraven formellt kommer från kunden.
Direktivet bygger visserligen på proportionalitet. Åtgärderna ska anpassas efter bland annat risk, storlek, exponering och möjliga konsekvenser. Det är ett viktigt motargument mot bilden av att alla ska pressas in i samma mall. Men proportionalitet fungerar bara om tillsynsmyndigheter och upphandlande organisationer verkligen tillämpar den. Annars blir ordet en tröst i lagtexten och en standardiserad frågelista i verkligheten.
Samma nyansering behövs när kommuner och regioner diskuteras. Alla kommunala verksamheter omfattas inte automatiskt på samma sätt. Däremot kan bland annat vatten, avlopp, vård och digital infrastruktur beröras beroende på hur verksamheten är organiserad och vilka regler som gäller för sektorn.
Staten har ett eget trovärdighetsproblem
Sverige hann inte införliva NIS2 till EU:s tidsfrist den 17 oktober 2024. EU-kommissionen inledde den 28 november samma år ett överträdelseärende mot Sverige och ytterligare ett stort antal medlemsstater. Det säger inte att kraven är fel, men det visar att inte ens staten har haft lätt att snabbt omsätta det omfattande regelverket i nationella regler och ansvarsförhållanden.
Det finns dessutom äldre varningssignaler. Riksrevisionen bedömde 2023 att regeringens styrning inte hade skapat tillräckliga förutsättningar för ett effektivt statligt arbete med informations- och cybersäkerhet. Granskningen pekade bland annat på otydlig ansvarsfördelning, splittrat stöd och brister i uppföljningen.
Det betyder inte att stöd saknas. MSB har ett nationellt stöd- och samordningsansvar på området, och CERT-SE hjälper samhället att hantera it-incidenter. Sverige har också en nationell cybersäkerhetsstrategi för 2025–2029 som betonar systematiskt säkerhetsarbete, incidentförmåga och samverkan mellan stat, kommuner och näringsliv.
Den avgörande frågan är därför inte om det finns myndigheter, strategier och initiativ. Frågan är om stödet är tillräckligt, begripligt och tillgängligt när en mindre vårdgivare, industriverksamhet eller kommunal funktion behöver granska en leverantör, öva reservdrift eller rapportera en incident under tidspress.
Mät om verksamheten överlever
Tillsyn och sanktioner behövs. Utan konsekvenser är det alltför lätt att skjuta säkerhetsinvesteringar framför sig. Dokumentation behövs också: en aktuell förteckning över system, tydliga ansvarsroller och en fungerande incidentplan kan vara avgörande när något händer.
Men tillsynen måste fråga efter mer än pärmar och policyer. Går säkerhetskopiorna faktiskt att återställa? Har reservrutinerna testats? Är nätverken segmenterade? Hur snabbt upptäcks ett intrång? Kan verksamheten fortsätta leverera vård, vatten, betalningar eller transporter när de ordinarie systemen ligger nere?
Det är sådana resultat som visar om Sverige har blivit säkrare.
NIS2 kan tvinga fram nödvändiga investeringar, lyfta frågan till ledningsnivå och ge myndigheterna en bättre lägesbild. Men lagen gör inte jobbet på egen hand. Regeringen och tillsynsmyndigheterna måste komplettera kraven med tydlig vägledning, sektorsvisa övningar, praktiska mallar, tillgänglig rådgivning och en öppen diskussion om finansiering och kompetens.
Annars kan Sverige få fler riskanalyser utan bättre riskkontroll, fler incidentrapporter utan snabbare återställning och fler godkända policyer utan större motståndskraft. Då har vi inte byggt ett starkare cyberförsvar. Vi har bara dokumenterat vår sårbarhet mer noggrant.
