{"id":1712,"date":"2026-11-03T10:59:52","date_gmt":"2026-11-03T08:59:52","guid":{"rendered":"https:\/\/www.styra.fi\/?p=1712"},"modified":"2026-11-03T11:29:53","modified_gmt":"2026-11-03T09:29:53","slug":"cybersecuritys-level-nis2","status":"publish","type":"post","link":"https:\/\/www.styra.fi\/fi\/cybersecuritys-level-nis2\/","title":{"rendered":"Kuinka hyv\u00e4ll\u00e4 tasolla kyberturvallisuuden oikeastaan pit\u00e4\u00e4 olla? NIS2, oikeasuhtaisuus ja pienemm\u00e4t yritykset"},"content":{"rendered":"\n

N\u00e4r man pratar om cybers\u00e4kerhet \u00e4r det l\u00e4tt att hamna i ytterligheter. <\/p>\n\n\n\n

I ena \u00e4nden finns stora organisationer med s\u00e4kerhetsteam, omfattande styrmodeller, tekniska s\u00e4kerhetsl\u00f6sningar, kontinuerliga granskningar och l\u00e5nga kontrollistor. I den andra finns mindre f\u00f6retag d\u00e4r IT kanske sk\u00f6ts av n\u00e5gra f\u00e5 personer eller tillsammans med en extern partner.<\/p>\n\n\n\n

\u00c4nd\u00e5 kan b\u00e5da omfattas av samma \u00f6vergripande regulatoriska krav.<\/p>\n\n\n\n

S\u00e5 betyder det att det mindre f\u00f6retaget ska f\u00f6rs\u00f6ka bygga samma s\u00e4kerhetsapparat som den stora koncernen?<\/p>\n\n\n\n

Nej. Men det betyder inte att kraven kan ignoreras.<\/strong><\/p>\n\n\n\n

NIS2 inneh\u00e5ller en viktig princip: proportionalitet<\/h3>\n\n\n\n

NIS2 kr\u00e4ver att organisationer som omfattas vidtar l\u00e4mpliga och proportionerliga tekniska, operativa och organisatoriska \u00e5tg\u00e4rder f\u00f6r att hantera cybers\u00e4kerhetsrisker.<\/p>\n\n\n\n

Vid bed\u00f6mningen av vad som \u00e4r proportionerligt ska bland annat organisationens storlek och riskexponering samt sannolikheten f\u00f6r och konsekvenserna av incidenter beaktas. \u00c4ven kostnaden f\u00f6r genomf\u00f6randet n\u00e4mns i artikel 21. [nis-2-directive.com]<\/a>, [eur-lex.europa.eu]<\/a><\/p>\n\n\n\n

Det \u00e4r en viktig sak. NIS2 s\u00e4ger allts\u00e5 inte att varje organisation ska bygga exakt samma s\u00e4kerhetsorganisation.<\/p>\n\n\n\n

D\u00e4remot finns centrala omr\u00e5den som beh\u00f6ver hanteras. Artikel 21 omfattar bland annat riskanalys och informationss\u00e4kerhet, incidenthantering, kontinuitet och krishantering, leverant\u00f6rskedjan, s\u00e4kerhet vid utveckling och underh\u00e5ll av system, bed\u00f6mning av s\u00e4kerhets\u00e5tg\u00e4rdernas effektivitet, cyberhygien och utbildning, kryptografi, \u00e5tkomstkontroll och anv\u00e4ndning av MFA d\u00e4r det \u00e4r l\u00e4mpligt. [nis-2-directive.com]<\/a><\/p>\n\n\n\n

Enklare beh\u00f6ver inte betyda s\u00e4mre<\/h3>\n\n\n\n

Det tycker jag \u00e4r en viktig po\u00e4ng, s\u00e4rskilt f\u00f6r mindre och medelstora f\u00f6retag. En process kan vara enkel och fortfarande fungera bra. Roller och ansvar kan beskrivas p\u00e5 n\u00e5gra sidor ist\u00e4llet f\u00f6r i en omfattande styrmodell. Riskhantering beh\u00f6ver inte inneb\u00e4ra ett dyrt GRC-system. Incidentberedskap beh\u00f6ver inte inneb\u00e4ra en tjock p\u00e4rm med processbeskrivningar.<\/p>\n\n\n\n

Men n\u00e5gon m\u00e5ste veta vad som ska h\u00e4nda n\u00e4r incidenten intr\u00e4ffar.<\/strong><\/p>\n\n\n\n

Det \u00e4r d\u00e4r jag tycker att diskussionen ibland hamnar snett. Vi b\u00f6rjar m\u00e4ta s\u00e4kerhet i antal dokument, kontroller och tekniska l\u00f6sningar ist\u00e4llet f\u00f6r att fr\u00e5ga om organisationen faktiskt kan hantera sina risker. <\/p>\n\n\n\n

Samtidigt \u00e4r ”vi \u00e4r sm\u00e5” aldrig ett frikort<\/h3>\n\n\n\n

Proportionalitet kan ocks\u00e5 misstolkas \u00e5t andra h\u00e5llet. Ett mindre f\u00f6retag kan ha en mycket kritisk verksamhet, k\u00e4nslig information eller stora beroenden av enskilda system och leverant\u00f6rer.<\/p>\n\n\n\n

Storleken \u00e4r bara en av faktorerna. NIS2 pekar ocks\u00e5 uttryckligen p\u00e5 riskexponering och p\u00e5 sannolikheten f\u00f6r och konsekvenserna av incidenter.<\/p>\n\n\n\n

Ett litet f\u00f6retag med stora risker kan d\u00e4rf\u00f6r beh\u00f6va mycket starka s\u00e4kerhets\u00e5tg\u00e4rder p\u00e5 vissa omr\u00e5den.<\/p>\n\n\n\n

Den viktiga fr\u00e5gan \u00e4r inte:<\/p>\n\n\n\n

Hur stora \u00e4r vi?<\/strong><\/p>\n\n\n\n

utan snarare:<\/p>\n\n\n\n

Vad kan h\u00e4nda, vad skulle konsekvensen bli f\u00f6r just v\u00e5rt bolag och vad beh\u00f6ver vi g\u00f6ra f\u00f6r att hantera risken?<\/strong><\/p>\n\n\n\n

Standarder \u00e4r hj\u00e4lpmedel, inte organisationens identitet<\/h3>\n\n\n\n

NIS2 s\u00e4ger ocks\u00e5 att relevant europeisk och internationell standardisering, d\u00e4r till\u00e4mpligt, ska beaktas n\u00e4r s\u00e4kerhetsniv\u00e5n best\u00e4ms. Standarder och etablerade ramverk kan d\u00e4rf\u00f6r ge struktur och hj\u00e4lpa en organisation att undvika blinda fl\u00e4ckar.<\/p>\n\n\n\n

Men det praktiska s\u00e4kerhetsarbetet b\u00f6rjar fortfarande med organisationens verklighet.<\/p>\n\n\n\n

    \n
  • Vilka system \u00e4r kritiska?<\/li>\n\n\n\n
  • Vilken information beh\u00f6ver skyddas?<\/li>\n\n\n\n
  • Vilka leverant\u00f6rer \u00e4r verksamheten beroende av?<\/li>\n\n\n\n
  • Vad h\u00e4nder om ett centralt system ligger nere?<\/li>\n\n\n\n
  • Vem fattar beslut vid en allvarlig incident?<\/li>\n\n\n\n
  • Vet organisationen vem som ansvarar f\u00f6r vad?<\/li>\n<\/ul>\n\n\n\n

    Det \u00e4r fr\u00e5gor som ocks\u00e5 hj\u00e4lper till att avg\u00f6ra hur mycket s\u00e4kerhet som faktiskt beh\u00f6vs<\/strong>.<\/p>\n\n\n\n

    M\u00e5let borde inte vara maximal s\u00e4kerhet<\/h3>\n\n\n\n

    H\u00e4r skulle jag vilja utmana lite.<\/p>\n\n\n\n

    Jag tror inte att m\u00e5let f\u00f6r ett f\u00f6retag borde vara s\u00e5 mycket cybers\u00e4kerhet som m\u00f6jligt<\/strong> bara f\u00f6r att. Ist\u00e4llet borde m\u00e5let vara r\u00e4tt cybers\u00e4kerhet f\u00f6r verksamheten och speciellt riskerna<\/strong>.<\/p>\n\n\n\n

    Och det \u00e4r kanske en av de viktigaste fr\u00e5gorna f\u00f6r ledningen i ett NIS2-arbete:<\/p>\n\n\n\n

    \n

    Kan vi f\u00f6rklara och har vi dokumenterat vilka v\u00e5ra viktigaste risker \u00e4r, vilka \u00e5tg\u00e4rder vi har valt och varf\u00f6r vi bed\u00f6mer att de \u00e4r tillr\u00e4ckliga?<\/strong><\/p>\n<\/blockquote>\n\n\n\n

    Om svaret \u00e4r ja har man kommit betydligt l\u00e4ngre \u00e4n genom att bara fylla i \u00e4nnu ett fr\u00e5geformul\u00e4r.<\/p>\n\n\n\n

    Passar s\u00e4kerhetsniv\u00e5n faktiskt er verksamhet?<\/strong>
    Styra hj\u00e4lper f\u00f6retag att g\u00e5 fr\u00e5n krav och fr\u00e5gelistor till en praktisk bild av risker, ansvar och prioriterade \u00e5tg\u00e4rder. L\u00e4s g\u00e4rna min kostnadsfria NIS2-guide f\u00f6r f\u00f6retagsledningen eller kontakta mig om du vill diskutera hur det ser ut hos er.<\/p>\n\n\n\n

    <\/p>\n","protected":false},"excerpt":{"rendered":"

    N\u00e4r man pratar om cybers\u00e4kerhet \u00e4r det l\u00e4tt att hamna i ytterligheter. I ena \u00e4nden finns stora organisationer med s\u00e4kerhetsteam, omfattande styrmodeller, tekniska s\u00e4kerhetsl\u00f6sningar, kontinuerliga granskningar och l\u00e5nga kontrollistor. I den andra finns mindre f\u00f6retag d\u00e4r IT kanske sk\u00f6ts av n\u00e5gra f\u00e5 personer eller tillsammans med en extern partner. \u00c4nd\u00e5 kan b\u00e5da omfattas av samma […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1712","post","type-post","status-publish","format-standard","hentry","category-okategoriserade"],"_links":{"self":[{"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/posts\/1712","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/comments?post=1712"}],"version-history":[{"count":2,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/posts\/1712\/revisions"}],"predecessor-version":[{"id":1714,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/posts\/1712\/revisions\/1714"}],"wp:attachment":[{"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/media?parent=1712"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/categories?post=1712"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.styra.fi\/fi\/wp-json\/wp\/v2\/tags?post=1712"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}