NIS 2-direktivet1 skulle börja tillämpas av medlemsstaterna den 18 oktober 2024. Även CER-direktivet2, skulle börja tillämpas från detta datum. Någon lagstiftning som implementerar NIS 2-direktivet och CER-direktivet är dock långt ifrån klar. Tiden innan den nya regleringen träder i kraft kan med fördel användas för att förbereda verksamheten, även om det förstås är svårt att förbereda sig när det ännu inte finns någon reglering att förhålla sig till.
Visserligen finns EU-direktivet som ger övergripande information om syfte och krav på medlemsländerna liksom förslag som utredningen om genomförande av NIS 2- och CER-direktiven har lämnat.3 4 Den kommande lagstiftningen kommer dock sannolikt inte att överensstämma helt med utredningens förslag. Utredningen föreslår att NIS 2-direktivet respektive CER-direktivet genomförs genom två nya lagar, lagen om cybersäkerhet respektive lagen om motståndskraft hos kritiska verksamhetsutövare samt att lagarna kompletteras med förordningar och myndighetsföreskrifter.
Utredningens förslag har remitterats, dock ännu inte till Lagrådet, vilket är steget innan regeringen utarbetar en proposition som sedan ska överlämnas till Riksdagen. Med andra ord kommer det att ta minst ett halvår innan det finns någon lagstiftning på plats när det gäller NIS 2 och CER, även om Regeringskansliet sannolikt hanterar frågan skyndsamt. Sverige är som framgått redan försenade med implementeringen.
Se till att uppfylla nuvarande NIS-regelverk
Även om det ännu inte finns någon reglering att förhålla sig till kan du ändå förbereda dig. Till att börja med kan du säkerställa att de nuvarande reglerna5 om NIS uppfylls. De svenska reglerna gäller fortfarande även om det tidigare NIS-direktivet har upphört att gälla.
Eftersom många krav på dig som verksamhetsutövare kommer att vara liknande, men lite strängare, är mycket vunnet om åtminstone det nuvarande regelverket uppfylls. En viktig del är att fortsätta utveckla det systematiska informationssäkerhetsarbetet enligt MSB:s föreskrifter6 och eventuella föreskrifter från verksamhetens tillsynsmyndighet.
En annan sak du kan göra är att se till att verksamhetens ledning och beslutsfattare får tillräckligt med information om NIS 2 för att kunna säkerställa en lämplig organisatorisk struktur för att kunna omhänderta kraven. Vidare kan det vara bra att utbilda och sprida information om NIS och NIS 2 generellt bland medarbetare i organisationen.
Som verksamhetsutövare kan du även passa på att säkerställa att den säkerhetskänsliga verksamheten är tydligt avgränsad. Enligt utredningens förslag kommer verksamhet som omfattas av säkerhetsskyddslagen inte att undantas helt från NIS 2-regleringen. Det skulle i så fall bli en skillnad i förhållande till den nuvarande NIS-regleringen.
Förbered dig för CER-regleringen
När det gäller CER-regleringen finns lite mer tid för så kallat kritiska verksamhetsutövare att förbereda sig eftersom det första steget sannolikt är att tillsynsmyndigheten för aktuell sektor först ska identifiera kritiska verksamhetsutövare inom sitt tillsynsområde. När dessa verksamheter har fått besked om att de har identifierats som kritiska verksamhetsutövare kommer de, enligt utredningens förslag, att få en begränsad tid på sig för att genomföra vissa åtgärder, bland annat en riskbedömning.
Men även när det gäller CER kan vissa förberedelser göras. Du kan till exempel se till att verksamhetens ledning och beslutsfattare får tillräckligt med information om CER för att kunna säkerställa en lämplig organisatorisk struktur för det fall verksamheten bedöms vara en kritisk verksamhetsutövare och behöver tillämpa en kommande CER-reglering.
Som verksamhetsutövare kan du genom CER-direktivet och utredningens förslag själv bilda dig en preliminär uppfattning av om ni kan komma att anses vara en kritisk verksamhetsutövare och därmed behöver tillämpa den kommande CER-regleringen.
