Berör NIS2 / cybersäkerhetslagen vårt företag?

EU:s NIS2-direktiv har genomförts i Finland genom cybersäkerhetslagen, som trädde i kraft i april 2025. Många företagsledare har hört talas om saken men är osäkra på om lagen gäller just dem. Svaret beror på två saker: om ni omfattas av lagen direkt, och om era kunder kräver samma saker av er via avtal.

Omfattas ert företag direkt av lagen?

Lagen gäller i regel medelstora och stora företag inom vissa branscher. Kontrollera två saker:

1. Storlek: företaget har minst 50 anställda, eller både omsättningen och balansomslutningen överstiger 10 miljoner euro. Siffrorna för företag i samma koncern eller partnerföretag kan behöva räknas med.
2. Bransch: företaget verkar till exempel inom energi, transport, hälso- och sjukvård, vattenförsörjning, digital infrastruktur, bank- och finanssektorn, avfallshantering, livsmedel, kemikalier, post- och budtjänster eller vissa industrigrenar (som tillverkning av maskiner, elektronik och fordon). Även leverantörer av förvaltade IT-tjänster till andra företag samt till exempel e-handelsplattformar omfattas.

En del aktörer omfattas av lagen oavsett storlek, till exempel vissa leverantörer av kommunikations- och betrodda tjänster. Branschindelningen är inte alltid entydig, så gränsfall bör utredas noggrant.

Om lagen gäller er ska ni anmäla er till tillsynsmyndigheten för er bransch och uppfylla lagens krav.

Vad kräver lagen?

Kraven är i stort sett gott grundläggande säkerhetsarbete som bara måste göras planmässigt och dokumenterat:

• Riskhantering: en dokumenterad verksamhetsmodell för att identifiera och hantera cyberrisker.
• Säkerhetsåtgärder: till exempel behörighetshantering, flerfaktorsautentisering, säkerhetskopiering, hantering av sårbarheter och kryptering.
• Kontinuitet: en plan för hur verksamheten fortsätter och återhämtar sig efter en störning.
• Incidentrapportering: betydande incidenter ska anmälas till myndigheten inom strikta tidsfrister, den första varningen redan inom 24 timmar.
• Säkerhet i leveranskedjan: riskerna hos de egna leverantörerna och tjänsteleverantörerna ska bedömas och hanteras.
• Ledningens ansvar: företagsledningen ska godkänna åtgärderna, övervaka att de genomförs och skaffa tillräcklig kunskap.

Försummelser kan leda till betydande påföljdsavgifter, men det viktigaste skälet att agera är enklare: samma åtgärder skyddar verksamheten mot verkliga angrepp.

Kraven kommer också via leveranskedjan

Det här överraskar många. Även om ert företag är för litet eller verkar i fel bransch kan lagen beröra er indirekt. Företag som omfattas av lagen måste hantera riskerna i sin leveranskedja, så de kräver detsamma av sina leverantörer.

I praktiken syns detta som säkerhetsenkäter, nya säkerhetsbilagor i avtal, revisioner och krav på till exempel flerfaktorsautentisering eller incidentanmälan. Särskilt företag som erbjuder IT-tjänster, programvara, underhåll eller underleveranser möter dessa krav allt oftare.

De som kan svara på frågorna snabbt och trovärdigt vinner affärer. De som inte kan riskerar att falla bort från leverantörslistan.

Tre vanliga missförstånd

• ”Vi är för små.” Storleken avgör bara den direkta tillämpningen. Kraven som kommer via leveranskedjan bryr sig inte om antalet anställda.
• ”Vår IT-partner sköter det här.” Partnern kan genomföra tekniska åtgärder, men ansvaret för riskhanteringen och ledningens skyldigheter ligger kvar hos företaget självt.
• ”Det räcker att vi fyller i enkäten.” Svaren i enkäten ska motsvara verkligheten. Om något händer kontrolleras det som utlovats i avtalet.

Hur kommer man i gång?

1. Utred om ni omfattas av lagen direkt utifrån storlek och bransch.
2. Lista de kunder som sannolikt omfattas av lagen och fundera på vad de kan kräva av er.
3. Jämför nuläget med kraven och åtgärda de största bristerna först.
4. Utse en ansvarsperson och lyft frågan till ledningen.

Foregons NIS2-utredning till fast pris visar på ungefär en vecka om lagen gäller er direkt eller via era kunder, och vilka de viktigaste nästa stegen är. Om en kund redan har skickat en säkerhetsenkät hjälper vi er också att besvara den.

← Alla artiklar