[Full disclaimer: Skrivet med ChatGPT. Ändå intressant ✌🏻]. NIS2 (Network and Information Security Directive 2), som är en reviderad version av NIS-direktivet, är utformad för att stärka säkerheten för nätverk och informationssystem i EU. Den trädde i kraft för att möta nya säkerhetsutmaningar i en alltmer digitaliserad värld och har en bredare omfattning jämfört med föregående direktiv. När det gäller hemsidor och webbplatser som är hostade i Sverige, här är en översikt över vad som påverkas:
Viktiga sektorer: NIS2 omfattar organisationer som tillhandahåller tjänster inom specifika kritiska sektorer. Detta inkluderar energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppssystem, digital infrastruktur, offentlig förvaltning, och andra liknande samhällskritiska verksamheter. Webbplatser tillhörande dessa sektorer omfattas direkt av NIS2.
Digitala tjänsteleverantörer: Företag som erbjuder digitala tjänster, inklusive webbtjänster som hosting, molntjänster, och sökmotorer, påverkas av NIS2. Det betyder att om du har din webbplats hostad hos en tjänsteleverantör som omfattas av direktivet, kan det finnas krav på att dessa leverantörer måste uppfylla vissa säkerhetsåtgärder.
Mellanstora och större företag: En stor förändring med NIS2 är att fler företag omfattas, inklusive större och medelstora företag inom berörda sektorer, till skillnad från tidigare, där man primärt fokuserade på större aktörer. Detta innebär att webbplatser för företag som är verksamma inom sektorer som omfattas av direktivet kan komma att behöva följa kraven även om de inte är av samma storlek som tidigare reglerade aktörer.
Tjänster som används för samhällets viktiga funktioner: Om en webbplats eller onlineplattform är kritisk för att upprätthålla viktiga samhällsfunktioner, till exempel en nyhetssajt med hög räckvidd, en offentlig portal, eller en tjänst för kommunikation och nödsituationer, omfattas den av direktivet.
Hostingföretag och molntjänstleverantörer: Om webbplatsen är hostad av ett svenskt hostingföretag som också omfattas av NIS2-kraven (eftersom det tillhandahåller viktig digital infrastruktur eller molntjänster), finns det säkerhetskrav som företaget måste uppfylla, vilket i sin tur påverkar säkerhetsstandarderna för kunders webbplatser.
Krav och åtgärder under NIS2:
För att följa NIS2 måste webbplatser och deras operatörer tillämpa ett antal säkerhetsåtgärder, såsom:
- Riskhantering och säkerhetspolitik: Tillämpliga säkerhetsåtgärder baserat på riskbedömning.
- Incidentrapportering: Snabb rapportering av säkerhetsincidenter, vanligtvis inom 24 timmar från upptäckt.
- Resiliens och kontinuitet: Upprätthållande av verksamheten även under säkerhetsincidenter.
- Säkerhetsrevisioner: Regelbundna säkerhetsrevisioner och utvärderingar.
I praktiken innebär detta att om du har en webbplats hostad i Sverige och den faller under en av de ovan nämnda kategorierna, eller om din hostingleverantör är en aktör som täcks av NIS2, måste ni se till att relevanta säkerhetsåtgärder är på plats.
Sammanfattningsvis berörs alltså främst webbplatser inom kritiska sektorer eller de som tillhandahåller samhällsviktiga tjänster, men även företag som erbjuder digitala tjänster såsom hosting och molntjänster omfattas av kraven i NIS2.