NIS2, direktiv (EU) 2022/2555 · gäller från 2024-10-18 genom nationell lag
Ledningens ansvar och åtgärder för cybersäkerhet, NIS2 art. 20–21
Ledningen ska godkänna åtgärderna för cybersäkerhet, övervaka genomförandet, gå utbildning och kan hållas ansvarig. Verksamheten ska ha minst tio åtgärder, bland annat incidenthantering, kontinuitet, säkerhet i leverantörskedjan, kryptering och flerfaktorsautentisering.
Krav
Art. 20(1) Management body approves and oversees risk measures and can be held liable (summary)
Management bodies of essential and important entities approve the cybersecurity risk-management measures taken under Article 21, oversee their implementation and can be held liable for infringements.
Sammanfattning, inte ordagrann text.
Art. 20(2) Mandatory cybersecurity training for the management body (summary)
Members of the management bodies are required to follow training to gain sufficient knowledge and skills to identify risks and assess cybersecurity risk-management practices; entities are encouraged to offer similar training to employees on a regular basis.
Sammanfattning, inte ordagrann text.
Art. 21(1) Appropriate and proportionate risk-management measures (summary)
Entities take appropriate and proportionate technical, operational and organisational measures to manage the risks to the security of network and information systems and to prevent or minimise the impact of incidents, based on an all-hazards approach.
Sammanfattning, inte ordagrann text.
Art. 21(2)(a)–(j) Ten minimum security measures (summary)
At least: risk analysis and security policies; incident handling; business continuity, backup, disaster recovery and crisis management; supply chain security; security in acquisition, development and maintenance including vulnerability handling; assessment of effectiveness; cyber hygiene and training; cryptography and encryption; human resources security, access control and asset management; multi-factor authentication and secured communications.
Sammanfattning, inte ordagrann text.
Art. 21(2)(d) and 21(3) Supply chain security and supplier assessment (summary)
Supply chain security covers the relationships with direct suppliers and service providers; entities take into account the vulnerabilities specific to each supplier, the overall quality of their products and cybersecurity practices, including secure development procedures.
Sammanfattning, inte ordagrann text.
Frister
- Direktivet gäller genom nationell lag från 18 oktober 2024 (art. 41). Kontrollera det egna landets genomförande.
Sanktioner
Väsentliga verksamheter: högsta böter på minst 10 miljoner euro eller 2 procent av global årsomsättning, det högsta beloppet (art. 34.4).
Viktiga verksamheter: minst 7 miljoner euro eller 1,4 procent (art. 34.5).
Väsentliga verksamheter: tillfälligt förbud för person i ledningen att utöva ledningsuppdrag (art. 32.5).
No NIS2 sanction decision with an official public source is in the register yet; status not_in_register. Decisions are linked automatically at /api/public/v1/act-decisions/nis2 once they are read in.
Vem omfattas
Medelstora och stora verksamheter i sektorerna i bilaga I och II, bland annat energi, transport, hälso- och sjukvård, digital infrastruktur, IT-tjänster, livsmedel och tillverkning. För finansiella företag gäller DORA före NIS2 (art. 4).
- Agent:
- agent:eu:nis2:agent-nis2-art-20-21
- Källa:
- EUR-Lex, läst 2026-10-10
- Noder:
- /graf/nis2
Kontrollkopplingar och kopplingar till GDPR, DORA, SEC och CCPA finns i NovaCopilot med partnernyckel. Source: NovaCopilot.