NIS2/DORA: Därför har cybersäkerhet blivit ett ledningsansvar

Införandet av NIS2-direktivet och DORA-förordningen innebär ett skifte i hur cybersäkerhet regleras i Europa. Cyberrisk ses inte längre som en teknisk fråga som kan lämnas helt till IT. Den behandlas nu som operativ risk, där ansvaret ligger hos ledning och styrelse.

För organisationer i reglerade eller samhällsviktiga sektorer höjs ribban för förebyggande arbete, tillgänglighet och styrning som går att visa upp. Tillsynsmyndigheter tittar inte bara på vilka säkerhetsverktyg som finns. De bedömer om ni har riskbaserade åtgärder på plats, om de följs upp, och om ni kan visa hur ni upptäcker, hanterar och rapporterar incidenter.

E-post, domäner och DNS är alla centrala för ett företags säkerhetsarbete. De är både affärskritiska och bland de mest utnyttjade angreppsytorna.

Organisationer som bygger på ett grundskydd och en reaktiv modell, dvs att man främst agerar när något redan hänt, får ofta svårt att nå upp till de nya kraven.

I den här artikeln går vi igenom varför NIS2 och DORA har införts, vad de betyder i praktiken och hur ni kan möta kraven på ett pragmatiskt och hållbart sätt.

Därför införs NIS2 och DORA

EU tog fram NIS2 och DORA som svar på en förändrad hotbild och den faktiska påverkan cyberincidenter har på ekonomi, samhälle och kritiska tjänster.

• NIS2 stärker och breddar det tidigare NIS-ramverket och utökar vilka organisationer som omfattas. Syftet är att höja den gemensamma nivån av cybersäkerhet i EU, särskilt hos verksamheter som är viktiga för samhälle, ekonomi och förtroende.
• DORA är en sektorsspecifik förordning för finansmarknaden. Den innehåller enhetliga krav på att finansföretag och deras digitala leverantörer ska kunna stå emot, hantera och återhämta sig från så kallade IKT-relaterade incidenter (som cyberattacker och systemfel).

Tillsammans speglar NIS2 och DORA vår digitala värld. Cyberattacker är sällan isolerade IT-problem, de slår mot samhällsviktiga tjänster, påverkar leverantörskedjor och urholkar tillit.

Angreppsmetoderna har utvecklats snabbt, inte minst med hjälp av AI.
Phishing och identitetskapning, domänmissbruk och störningar via DNS är vanliga startpunkter för allvarliga incidenter och de tar sig ofta förbi standardskydd.

Regelverken flyttar därför fokus från:

•  Från enskilda verktyg → strukturerad riskhantering och motståndskraft
•  Från IT-ansvar → till ansvar på ledningsnivå
•  Från reaktiv incidenthantering → till förebyggande arbete och kontroll som går att belägga

Frågan är vilka risker ni har minimerat, vilka incidenter ni har stoppat och hur ni kan rapportera om det.

Vad den nya lagen innebär i praktiken

En av de största förändringarna i NIS2 är hur ansvar tydliggörs. Cybersäkerheten ska inte ses som en fråga enbart för de som ansvarar för IT-driften.

Det finns nu ett uttalat ansvar för ledningen att godkänna riskhanteringsåtgärder för cybersäkerhet, följa upp genomförandet samt ställas till svars vid överträdelser.

Det betyder förstås inte att styrelse och ledning ska kunna allt tekniskt. Men de behöver förstå hur cyberrisk påverkar verksamheten, vilka förebyggande åtgärder som finns, och hur incidenter skulle rapporteras, hanteras och förklaras.

DORA förstärker samma tanke inom finansbranschen. Här är säkerheten en förutsättning för driftskontinuitet, det räcker inte att kunna svara på incidenter. Man förväntas utforma processer och system som tål störningar.

Vilka påverkas mest av NIS2 och DORA?

NIS2 och DORA breddar EU:s cybersäkerhetskrav rejält. De omfattar inte bara “kritiska” verksamheter och finans. De omfattar också digitala och infrastrukturella leverantörer som stödjer dem.

• NIS2 berör bland annat väsentliga och viktiga entiteter inom energi, transport, hälso- och sjukvård, bank och finansmarknadsinfrastruktur, offentlig förvaltning samt digital infrastruktur.
• DORA riktar sig i stort sett till alla företag inom finanssektorn när det gäller IKT-risker. Förordningen innebär bland annat högre krav på företagen att hantera och rapportera risker inom informations- och kommunikationsteknologi (IKT), testa den digitala operativa motståndskraften och hantera IKT-relaterade tredjepartsrisker. 

Många organisationer berörs av båda, särskilt de som levererar digital infrastruktur eller säkerhetstjänster till finans eller samhällsviktiga aktörer. Oavsett, ansvar ska vara tydligt, leverantörskedjan räknas in och tillsynsmyndigheten vill se bevis på kontroll.

Konsekvenserna av bristande efterlevnad

Följderna handlar inte bara om eventuella sanktionsavgifter. Organisationer som drabbas av incidenter utan att kunna visa att de haft rimliga kontroller riskerar tillsyn, krav på åtgärdsplaner och tydliga förtroendeskador.

Det finns också en ledningsdimension. När incidenter inträffar stannar ansvaret inte vid teknikteamet. Ledning och styrelse förväntas kunna stå för beslut, prioriteringar, beredskap och uppföljning.

Möt kraven utan att bygga mer komplexitet

Att nå upp till NIS2 och DORA kräver sällan en total omställning. Ofta handlar det om att stärka förebyggande skydd och synlighet där ni redan är mest sårbara.

E-post är ett tydligt exempel. Det är en av de vanligaste ingångarna för angrepp. Kontroller som stoppar riktade attacker innan de når användaren minskar både operativ risk och regelefterlevnadsrisk.

Domänhantering är ett annat område som ofta underskattas. Med tiden samlar många organisationer på sig äldre och närliggande domäner som fortfarande kan missbrukas. Central överblick och kontinuerlig bevakning minskar risken för imitation och bedrägerier, och gör ansvar enklare att visa.

DNS-skydd är lika viktigt, eftersom problem med DNS kan omedelbart slå ut digitala tjänster. Därför blir tillgänglighet och kontinuitet en reell tillsynsfråga.

Efterlevnad handlar om kontroll, skydd och rapportering

Ett genomgående tema i både NIS2 och DORA är att organisationen ska kunna visa:

•  vilka risker som identifierats
•  vilka incidenter som förebyggts
•  hur tillgänglighet och motståndskraft säkras
•  vem som är ansvarig

Nästa steg: en nulägesanalys

För många är bästa första steget att få en tydlig, faktabaserad bild av nuläget inom e-post, domäner och DNS, utan att direkt dra igång ett stort förändringsprogram.

En avgränsad genomlysning eller en proof-of-concept ger svar på:

•  Vilka hot missar vi i dag?
•  Var finns de största glappen mot kraven?
•  Vilket underlag kan vi lägga fram vid tillsyn eller incidentgenomgång?

Det gör det lättare att fatta beslut, både tekniskt och på ledningsnivå och flyttar diskussionen från teori till praktik.