Uppfyller ert företag
NIS2-direktivets krav?
Gå igenom de 24 kraven, markera det ni redan har på plats och ladda ned en sammanställning av era luckor — med prioriterade åtgärdsförslag.
NIS2 gäller verksamheter inom energi, transport, bank, hälsa, dricksvatten, digital infrastruktur, IT-tjänster, offentlig förvaltning, livsmedel och tillverkning med minst 50 anställda eller omsättning över 10 M€ — samt deras underleverantörer.
Er organisation saknar grundläggande NIS2-krav. Vid en incident eller tillsynsgranskning riskerar ni böter upp till 10 miljoner euro eller 2 % av omsättningen, samt krav på verksamhetsstopp. Ladda ned rapporten och kontakta SWEPO för en kostnadsfri genomgång.
Ni har tagit viktiga steg men har fortfarande luckor som innebär risk vid tillsyn. Ladda ned rapporten för att se exakt vad som saknas och i vilken ordning det bör åtgärdas.
Ni har en solid bas. Många organisationer klarar grovgranskningen men faller på dokumentationskrav och faktiska tester. Ladda ned rapporten och låt SWEPO göra en djupare granskning.
NIS2 kräver att styrelse och ledning aktivt godkänner och övervakar säkerhetsåtgärder. Ansvar kan inte delegeras bort helt.
Kan vara intern (CISO, IT-chef) eller extern (t.ex. SWEPO som extern säkerhetsfunktion). Rollen måste vara namngiven.
Policyn ska beskriva mål, ansvar, klassificering av information och grundläggande säkerhetsregler. Godkänd av ledningen.
NIS2 specificerar att ledningspersoner ska ha tillräcklig kunskap för att bedöma risker. Utbildning ska dokumenteras.
Ska identifiera hot, sårbarheter och konsekvenser. Uppdateras minst en gång per år eller vid väsentliga förändringar.
Ni vet vilka system och data som är affärskritiska, var de finns och vem som har tillgång till dem.
Supply chain-säkerhet är ett explicit NIS2-krav. Ni ska kunna visa att ni bedömt era leverantörers säkerhetsnivå.
Det räcker inte att identifiera risker — det krävs dokumenterade beslut om hur de ska hanteras och vem som ansvarar.
NIS2 kräver MFA som grundläggande skyddsåtgärd. Gäller e-post, VPN, administrativa system och molntjänster.
Backup ska vara krypterad, geografiskt separerad och testas för återställning minst kvartalsvis.
All känslig kommunikation och lagring av personuppgifter och affärskritisk information ska krypteras.
Anställda har tillgång till det de behöver — inte mer. Administratörsbehörigheter är begränsade och granskas regelbundet.
Kritiska säkerhetsuppdateringar installeras inom definierad tidsfrist (t.ex. 72 timmar för kritiska, 30 dagar för övriga).
Planen ska beskriva vad som klassas som en incident, vem som beslutar, hur eskalering sker och vad som kommuniceras — och till vem.
NIS2 kräver förhandsvarning inom 24 timmar och fullständig rapport inom 72 timmar efter att en allvarlig incident upptäckts.
Logghantering ska säkerställa spårbarhet. Loggar ska skyddas mot manipulation och bevaras under minst 12 månader.
En plan som aldrig testats fungerar sällan i skarpt läge. Tabletop-övningar en gång per år är tillräckligt.
Planen beskriver hur verksamheten fortsätter vid avbrott. NIS2 kräver dokumenterade RTO och RPO-mål.
Ni kan återställa kritiska IT-system inom definierad tid. Återställningstiden är dokumenterad och verifierad i praktiken.
Vem leder arbetet vid en allvarlig incident? Beslutsvägar och kommunikationsansvar ska vara definierade och övade.
Hur informeras anställda, kunder, leverantörer och media vid en incident? Mallar och kontaktlistor ska finnas tillgängliga offline.
Phishing, lösenordshygien, hantering av känslig information. Utbildning ska dokumenteras.
Gäller särskilt IT-personal, ekonomi och ledning. Ska vara proportionerlig mot den risk respektive roll innebär.
Åtkomst till system, e-post och lokaler ska återkallas omedelbart vid avslut. En av de vanligaste och mest underskattade säkerhetsriskerna.
Få rapporten skickad till er
Ange er e-postadress så skickar vi rapporten direkt — inklusive era luckor och prioriterade åtgärder.
Ange en giltig e-postadress.
Rapporten är skickad
Vi har skickat er NIS2-rapport till
Stämmer adressen? Om inte kan ni ange en ny adress nedan.