NIS2 steg för steg – guide från nuläge till er första NIS2-rapport

Så använder ni guiden

Guiden är uppdelad i två delar. Den första gör ni själva internt, i valfri ordning. Den andra sker i CompliancePilot där svaren, dokumenten och bristerna hänger ihop.

Del 1 – Kartlägg nuläget internt

Innan verktyg och rapporter behöver ni en gemensam bild av var ni faktiskt står. Använd punkterna som samtalsunderlag internt.

• Ta reda på om ni berörs direkt eller indirekt av NIS2.
• Utse ansvariga roller för cybersäkerhet och NIS2-arbete.
• Kartlägg IT-miljö och kritiska system.
• Identifiera kritiska leverantörer och tredje parter.
• Gå igenom era incidentrutiner i praktiken – inte bara på papper.

Del 2 – Strukturera arbetet i CompliancePilot

När nuläget är kartlagt tar CompliancePilot vid. Här kopplas svar, brister, dokumentation och uppföljning ihop så att arbetet blir spårbart över tid.

• Bedöm nuvarande dokumentation av policyer och kontroller.
• Gör en strukturerad gap-analys.
• Identifiera brister och prioritera åtgärder.
• Sammanställ ett läsbart rapportunderlag.
• Följ upp löpande – inte bara vid ett tillfälle.

NIS2 compliance steg för steg – tio steg i ordning

De flesta som fastnar gör det för att stegen körs i fel ordning: åtgärder prioriteras innan nuläget är kartlagt, eller dokumentation skrivs innan det är klart vad som ska styrkas. Ordningen nedan är den som brukar fungera, och varje steg har en egen fördjupning i klustret.

• 1. Avgör omfattning – berörs verksamheten av NIS2 eller cybersäkerhetslagen?
• 2. Fastställ ansvar – utse roller och förankra åtgärderna i ledningen.
• 3. Genomför riskanalys – vilka hot och beroenden påverkar leveransförmågan?
• 4. Kartlägg nuläget – vad finns faktiskt på plats i dag?
• 5. Identifiera brister – skillnaden mellan nuläge och krav.
• 6. Prioritera åtgärder – ägare, datum och rimlig ordning.
• 7. Samla evidence och dokumentation – bevis kopplat till respektive kontroll.
• 8. Säkra leverantörskedjan – bedöm och följ upp kritiska leverantörer.
• 9. Förbered incidentrapportering – tidsfrister, rapportväg och underlag.
• 10. Följ upp och rapportera – återkommande, inte som engångsövning.

Steg 1: omfattningNIS2-checklistan: kontrollera stegen punkt för punktSteg 2: ledningens ansvarSteg 4–5: gap-analysSteg 7: dokumentationSteg 8: leverantörssäkerhetSteg 9: incidentrapportering

Ett par konkreta exempel

Exempel: Om ingen är utsedd som ansvarig blir det ofta första punkten på nästa ledningsmöte – inte en teknisk fråga. Exempel: Om backup finns men inte har återlästs på ett år är det inte ’backup saknas’ som är gapet, utan ’återläsning behöver testas och dokumenteras’.

En guide är en startpunkt – inte ett facit

Guiden hjälper er förstå vägen framåt. NIS2-arbetet kräver också att ni kan visa nuläge, ansvar, brister, åtgärder och dokumentation över tid – det är där strukturen behövs, inte i en engångsövning.

Från guide till er första NIS2-rapport

När del 1 och del 2 hänger ihop går det att sammanställa en första NIS2-rapport: vad ni har på plats, vad som pågår, vilka brister som väger tyngst och vem som äger nästa steg. Det är den rapporten som gör guiden konkret – och den som blir utgångspunkt för uppföljning framåt.