Question 1

Omfattas vårt företag av NIS2?

Accepted Answer

NIS2 gäller verksamheter i utpekade sektorer, bland annat energi, transport, hälsa, vatten, digital infrastruktur, IT-tjänster, offentlig förvaltning, post, avfall, livsmedel och tillverkning. Storleken spelar in: många medelstora och stora organisationer omfattas direkt. Är ni underleverantör till någon som omfattas får ni ofta motsvarande krav via avtal. Vårt självtest ger er ett första svar på några minuter.

Question 2

Vilka krav ställer NIS2 konkret?

Accepted Answer

Riskanalys och säkerhetspolicyer, incidenthantering och rapportering, kontinuitet och backup, säkerhet i leverantörskedjan, säker utveckling och sårbarhetshantering, kryptering, åtkomstkontroll med multifaktorautentisering samt utbildning. Ledningen har ett uttalat ansvar för att kraven följs.

Question 3

Hur snabbt måste vi rapportera en incident?

Accepted Answer

NIS2 bygger på en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar och en slutrapport inom en månad. I praktiken betyder det att ni behöver en rutin med utpekade roller och kontaktvägar innan något händer.

Question 4

Vad händer om vi inte uppfyller kraven?

Accepted Answer

Tillsynsmyndigheten kan begära in dokumentation, genomföra granskningar, förelägga om åtgärder och besluta om sanktionsavgifter. Utöver det tillkommer affärsrisken: kunder och upphandlingar kräver i allt högre grad att ni kan visa hur ni arbetar med säkerhet.

Question 5

Vi är underleverantör – varför får vi säkerhetskrav från våra kunder?

Accepted Answer

NIS2 kräver att de som omfattas hanterar risker i sin leverantörskedja. Därför skickas kraven vidare i avtal och leverantörsgranskningar. Kan ni svara snabbt och dokumenterat blir det en konkurrensfördel.

Question 6

Vad är CRA och gäller den oss?

Accepted Answer

Cyber Resilience Act ställer säkerhetskrav på produkter med digitala element som säljs inom EU – både hårdvara och mjukvara. Utvecklar, säljer eller importerar ni en produkt med kod i berörs ni, oavsett bransch.

Question 7

Vad är en SBOM och behöver vi en?

Accepted Answer

En SBOM är en förteckning över alla komponenter och tredjepartsbibliotek i er produkt. Den krävs enligt CRA och är i praktiken förutsättningen för att kunna svara på om ni är sårbara när en ny sårbarhet publiceras. Vi sätter upp den så att den genereras automatiskt i bygget.

Question 8

Överlappar CRA med NIS2?

Accepted Answer

Ja, i stora delar. NIS2 handlar om er verksamhet, CRA om era produkter, men båda kräver sårbarhetshantering, säker utveckling och dokumenterade rutiner. Vi utformar arbetet så att samma underlag täcker båda.

Question 9

Behöver vi ISO 27001 för att klara NIS2?

Accepted Answer

Nej, ISO 27001 är inget krav. Men ett ledningssystem gör NIS2-arbetet enklare eftersom dokumentation och processer överlappar. Vi utgår från det ni redan har istället för att bygga om allt.

Question 10

Vi har redan ett GRC-verktyg – kan ni jobba i det?

Accepted Answer

Ja. Vi är verktygsoberoende och arbetar i den plattform ni valt, eller hjälper er välja en som passar. Verktyget löser inte kraven i sig – innehållet och genomförandet är det som räknas.

Question 11

Vem i ledningen behöver vara involverad?

Accepted Answer

NIS2 lägger ansvaret på styrelse och ledning: de ska godkänna riskhanteringen, hålla sig utbildade och kunna visa att beslut fattats. I praktiken räcker ett par tydliga beslutspunkter per år om underlaget är bra.

Question 12

Hur snabbt kan vi komma igång?

Accepted Answer

En nulägesanalys tar normalt 2–4 veckor. Ni får en gapanalys, en prioriterad åtgärdsplan och underlag som ledningen kan besluta på. Därefter genomför vi åtgärderna i den takt verksamheten klarar.

Question 13

Vad kostar en nulägesanalys?

Accepted Answer

Priset beror på verksamhetens storlek och antal system. Vi lämnar alltid en fast offert efter ett kort förmöte, så att ni vet vad ni får och vad det kostar innan ni beslutar.

Question 14

Tar ni över driften eller arbetar ni med vår befintliga IT-leverantör?

Accepted Answer

Båda fungerar. Vi kan ta ett helhetsansvar för säker drift, eller arbeta som säkerhetsfunktion vid sidan av er nuvarande leverantör och ställa kraven som behövs.

Question 15

Hur hanterar ni våra uppgifter?

Accepted Answer

Enive AB (org.nr 559338-1618) behandlar de uppgifter ni lämnar för att kunna svara på er förfrågan. Vi delar inte uppgifter med tredje part utan att ni godkänt det i ett separat steg. Läs mer i vår integritetspolicy.

Frågor vi får varje vecka

NIS2

CRA och produktsäkerhet

ISO 27001 och styrning

Att arbeta med Enive

Har ni en fråga som inte finns här?