Genom NIS 2-direktivet inrättas en enhetlig rättslig ram för att upprätthålla cybersäkerheten i 18 kritiska sektorer i hela EU. Medlemsstaterna uppmanas också att fastställa nationella strategier för cybersäkerhet och samarbeta med EU för gränsöverskridande insatser och verkställighet.
Cybersäkerhet innebär att skydda nätverks- och informationssystem (NIS), deras användare och andra berörda personer från cyberincidenter och hot. För att hantera Europas ökade exponering för cyberhot ersatte direktiv 2022/2555, även kallat NIS2, sin föregångare, direktiv 2016/1148 eller NIS1. NIS2 höjer EU:s gemensamma ambitionsnivå för it-säkerhet genom ett bredare tillämpningsområde, tydligare regler och starkare tillsynsverktyg. Det kräver att medlemsstaterna förbättrar sin cybersäkerhetskapacitet, samtidigt som de inför riskhanteringsåtgärder och rapporteringskrav för entiteter från fler sektorer och fastställer regler för samarbete, informationsutbyte, tillsyn och verkställighet av cybersäkerhetsåtgärder.
Enligt direktivet ska varje medlemsstat anta en nationell strategi för cybersäkerhet, som omfattar strategier för säkerhet i leveranskedjan, sårbarhetshantering samt utbildning och medvetenhet om cybersäkerhet. Medlemsstaterna måste också upprätta och regelbundet uppdatera en förteckning över leverantörer av samhällsviktiga tjänster för att säkerställa att dessa entiteter uppfyller kraven i direktivet.
Utöver de sektorer som redan omfattas av NIS 1, såsom energi, transport, hälso- och sjukvård, finans, vattenförvaltning och digital infrastruktur, gäller dessa regler för leverantörer av offentliga elektroniska kommunikationstjänster, fler digitala tjänster såsom sociala plattformar, avloppsvatten och avfallshantering, tillverkning av kritiska produkter, post- och budtjänster, offentlig förvaltning, både på central och regional nivå eller i rymden. Som regel måste medelstora och stora entiteter inom dessa kritiska sektorer vidta lämpliga riskhanteringsåtgärder för cybersäkerhet och underrätta relevanta nationella myndigheter om betydande incidenter. Det här är incidenter som kan orsaka betydande störningar eller skador.
Direktivet innehåller också bestämmelser om tillsyn, efterlevnadskontroll och frivilliga inbördes utvärderingar för att öka det ömsesidiga förtroendet och cybersäkerhetskapaciteten i hela EU. Den inför också ansvarsskyldighet för den högsta ledningen för bristande efterlevnad av riskhanteringsåtgärder för cybersäkerhet, vilket gör styrelsen uppmärksam på cybersäkerhet.
Genom direktivet inrättas ett nätverk av enheter för hantering av it-säkerhetsincidenter (CSIRT-enheter) för att utbyta information om cyberhot och reagera på incidenter. Dessa team är avgörande för att upprätthålla situationsmedvetenhet och erbjuda hjälp. För att hantera storskaliga cyberincidenter eller cyberkriser inrättas genom direktivet det europeiska nätverket av sambandsorganisationer för cyberkriser (EU-CyCLONe). Detta nätverk stöder en samordnad förvaltning och säkerställer regelbundet informationsutbyte mellan medlemsstaterna och EU-institutionerna i händelse av storskaliga incidenter och kriser.
Samtidigt är samarbetsgruppen för nät- och informationssäkerhet en plattform som inrättats genom direktivet om nät- och informationssäkerhet för att underlätta strategiskt samarbete och informationsutbyte mellan EU:s medlemsstater, Europeiska kommissionen och EU:s cybersäkerhetsbyrå (Enisa). Gruppen offentliggör icke-bindande riktlinjer och rekommendationer till stöd för genomförandet av NIS-direktivet.
Bakgrund
NIS 1 (direktiv 2016/1148) var den första övergripande EU-lagstiftningen som syftade till att öka cybersäkerheten i nätverks- och informationssystem för att skydda viktiga tjänster för EU:s ekonomi och samhälle. I december 2020 föreslog kommissionen en översyn av NIS 1, vilket ledde till antagandet av NIS 2, som trädde i kraft i januari 2023. Medlemsstaterna hade fram till den 17 oktober 2024 på sig att införliva NIS 2-direktivet i sin nationella lagstiftning. NIS 2 upphävde NIS 1 från och med den 18 oktober 2024.
Kommissionen har inlett överträdelseförfaranden genom att skicka formella underrättelser till 23 medlemsstater för att de inte fullt ut har införlivat NIS 2-direktivet i nationell lagstiftning senast den 17 oktober 2024. Medlemsstaterna måste svara och slutföra införlivandet av direktivet. Om de inte gör det kan kommissionen utfärda ett motiverat yttrande, som är en formell begäran om att följa EU-lagstiftningen. Fortsatt bristande efterlevnad kan så småningom leda till att ärendet hänskjuts till Europeiska unionens domstol, som kan utdöma ekonomiska sanktioner.
Senaste nytt
Läs mer
Översikt