Vol. 8 av 25
·
Mjukvarustacken och kontextuell risk
Styrelsens ansvarsskifte under NIS2
NIS2 artikel 20 pekar ut ledningsorganet som ansvarigt för hanteringen av cybersäkerhetsrisker. Det handlar om mer än att godkänna budgeten. Hos väsentliga verksamhetsutövare omfattar det även en möjlighet att förbjuda en person i ledningen att utöva ledningsfunktioner vid allvarliga eller upprepade brister.
10 M€
Högsta administrativa sanktionsavgift för väsentliga verksamhetsutövare: 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket som är högst (artikel 34.4). För viktiga verksamhetsutövare är taket 7 miljoner euro eller 1,4 % (artikel 34.5).
72 tim
Incidentanmälan till myndigheten ska göras inom 72 timmar efter att ni fått kännedom om en betydande incident, med en tidig varning redan inom 24 timmar och en slutrapport inom en månad (artikel 23).
Personligt
Ett ledningsförbud är en personlig konsekvens för individen, inte en sanktionsavgift. Det gäller väsentliga verksamhetsutövare och är skilt från eventuella sanktionsavgifter mot verksamhetsutövaren.
Antagandet
Många styrelser tror att det räcker för NIS2 att godkänna säkerhetsbudgeten, utse ansvariga chefer och ta emot periodiska rapporter. De utgår från att ansvaret ligger på organisationen och inte på enskilda ledamöter.
Verkligheten
Artikel 20 pekar ut ledningsorganet som ansvarigt för hanteringen av cybersäkerhetsrisker och lägger på skyldigheter som går längre än att godkänna budget och delegera tillsyn. Hos väsentliga verksamhetsutövare kan en person i ledningen förbjudas att utöva ledningsfunktioner efter allvarliga eller upprepade brister (NIS2 artikel 32.5 b). I Sverige beslutar allmän förvaltningsdomstol om förbudet på ansökan av tillsynsmyndigheten, för en tid av lägst ett och högst tre år (cybersäkerhetslagen 4 kap. 6–8 §§).
Målarkitekturen
Informera styrelsen om den personliga exponeringen. Ta fram de tre underlag som artikel 20 kräver. Bygg vägen för incidenteskalering innan 72-timmarsklockan börjar ticka.
Tre saker din styrelse behöver före nästa incident
Genomgång av artikel 20 (45 minuter): Går igenom det personliga ansvaret, de konkreta skyldigheterna och vilka underlag som krävs, konsekvenserna för enskilda och åtgärderna för de första 30 dagarna. Avslutas med ett styrelsebeslut som fastställer ramverket för hantering av cybersäkerhetsrisker.
Stående punkt på kvartalsmötet: En rapport på en sida om de tre största identitets- och cyberriskerna, de kontroller som hanterar dem, nyckeltal och väsentliga förändringar sedan förra rapporten.
Dokumenterad eskaleringsväg från SOC till styrelse: Beskriver styrelsens roll, vilka beslut som kräver styrelsens godkännande och vilka som delegeras till CISO, samt vad anmälan till myndigheten ska innehålla.
Det är inte längre CISO som bär ansvaret. Det gör styrelsen.
En CISO som inte har informerat styrelsen om artikel 20 har inte fullgjort sitt NIS2-uppdrag. CISO:s roll är att göra det möjligt för styrelsen att uppfylla sina lagstadgade skyldigheter, inte att bära ansvaret i dess ställe.
Källor
NIS2-direktivet (EU) 2022/2555, artiklarna 20, 23 och 34
Cybersäkerhetslagen (2025:1506), som genomför NIS2 i Sverige, 4 kap. 6–8 §§
Nordisk juridisk rådgivare, beredskap inför tillsyn enligt NIS2, 2026
Vill du veta hur det ser ut i er miljö?
Boka en genomgång med Ciptor, så går vi igenom era antaganden tillsammans.
Boka en genomgång