NIS2-krav innebär personligt ansvar för styrelsen – sedan 1 juli 2025 kan ledningen hållas ansvarig för cybersäkerhet. Här är vad ni behöver veta.

NIS2 ställer nya krav på styrelsen. Vad gör ni nu?

Sedan 1 juli 2025 kan styrelsen personligen hållas ansvarig för att ert företag lever upp till de nya NIS2-kraven för cybersäkerhet. För tusentals svenska företag inom 18 kritiska sektorer betyder det en sak: cybersäkerhet är inte längre en teknisk uppgift, det är ett styrelsesansvar.

Böter upp till 75 miljoner kronor. Personligt ledningsansvar. En 24-timmarsfrist för att rapportera säkerhetshändelser. NIS2-kraven är verkliga, konsekvenserna är märkbara, och tidsfönstret för att agera är nu.

Men här är de goda nyheterna: NIS2-compliance behöver inte vara oöverkomligt. Med rätt ramverk och rätt verktyg kan ni gå från lagtext till konkret handlingsplan, och vi visar er hur.

Denna artikel ger er tre saker:

1. En klar överblick över vad NIS2-krav och vad som krävs av ert företag
2. CIS 18 Controls som er en praktisk roadmap till compliance
3. Automatiserad pentest som metoden för att bevisa att era åtgärder faktiskt fungerar

NIS2-krav kort beräknat: personligt ansvar och snäva deadlines

NIS2 (Network and Information Security Directive 2) är EU:s uppgraderade cybersäkerhetsdirektiv som ersätter det ursprungliga NIS1. I Sverige antogs lagen enhälligt av riksdagen den 29 april 2025, och Myndigheten för samhällsskydd och beredskap (MSB) för tillsyn.

Vem omfattas av NIS2-krav?

Företag i 18 sektorer, från energi, transport och hälso- och sjukvård till livsmedel, tillverkning och digitala leverantörer. Avgörande är tre kriterier:

• Sektor: Är ni i en av de 18 omfattade sektorerna?
• Storlek: Medelstora (50+ anställda eller 10M+ EUR omsättning) och stora företag omfattas automatiskt
• Samhällskritisk funktion: Vissa enheter omfattas oavsett storlek (t.ex. DNS-leverantörer, cloud-infrastruktur, betrodda tjänster)

Är ni osäkra på NIS2-kraven? Kontrollera nis2tjek.sikkerdigital.dk, det tar fem minuter.

Artikel 21: De 10 NIS2-krav ni ska leva upp till

Kärnan i NIS2 är Artikel 21, som kräver lämpliga och proportionella åtgärder inom minst 10 områden:

Ledningsansvar: det nya i NIS2-kraven

Här skiljer sig NIS2-kraven markant från det mesta föregående reglering: styrelsen och den högsta ledningen är direkt och personligt ansvarig för att godkänna och föra tillsyn med cybersäkerhetsåtgärderna.

Det betyder konkret:

• Ledamöter kan ådra sig personliga sanktioner
• Möjliga konsekvenser inkluderar tillfälligt förbud mot att inneha ledningspositioner
• Ledningen ska genomgå cybersäkerhetsutbildning
• Bristande efterlevnad kan offentliggöras

Det räcker inte längre att delegera cybersäkerhet till IT-avdelningen och hoppas på det bästa.

Sanktioner vid brott mot NIS2-krav

• Väsentliga enheter: Upp till €10 mio. eller 2% av global årsomsättning
• Viktiga enheter: Upp till €7 mio. eller 1,4% av global årsomsättning
• I svensk kontext: böter upp till 75 miljoner SEK

NIS2-krav för incident reporting: Snäva tidsfrister

När en väsentlig händelse inträffar räknas klockan:

24 timmar är inte lång tid. Utan etablerade processer och verktyg är det nästan omöjligt att följa.

Problemet: NIS2-krav säger vad – men inte hur ni uppfyller dem

Här stöter många företag på muren.

NIS2:s Artikel 21 är tydlig om vad som krävs: riskanalys, händelsehantering, leverantörskedjesäkerhet, effektivitetsbedömning och så vidare. Men direktivet säger mycket lite om hur ni konkret implementerar det.

Resultatet? Företag sitter med en lag som ställer tydliga krav men ingen handlingsplan för att uppfylla dem. Många hamnar i ett av två scenarier:

1. Compliance-panik: Dyra konsultförlopp som producerar policydokument men inte reellt förbättrar säkerheten
2. Analysförlamning: Kraven verkar oöverkomliga och inget händer

Båda scenarierna är dyra, antingen i konsultnotor eller i risk.

Det företag behöver är ett konkret, prioriterat ramverk som översätter NIS2:s lagkrav till specifika tekniska och organisatoriska åtgärder, och ett verktyg som validerar implementeringen löpande. Ramverket existerar redan. Verktyget gör det också.

CIS 18 Controls: Er praktiska roadmap till NIS2-krav compliance

CIS Critical Security Controls (CIS 18) version 8.1 är ett set av 18 säkerhetskontroller med 153 specifika safeguards, utvecklat av Center for Internet Security. Där NIS2 beskriver vad organisationer ska göra, beskriver CIS 18 hur de stärker sin cybersäkerhet.

Varför CIS 18?

• Handlingsorienterat: Varje kontroll har konkreta, implementerbara safeguards
• Officiell NIS2-mapping: CIS har själva utgivit en mapping från CIS Controls v8.1 till NIS2, det är inget vi hittar på
• Skalbart: Tre Implementation Groups gör det realistiskt för företag i alla storlekar
• Mätbart: Safeguards är designade för att kunna mätas, avgörande för NIS2:s krav på effektivitetsbedömning
• Baserat på verkligheten: Uppdaterat löpande baserat på faktiska angreppsmönster, inte akademisk teori
• Gratis tillgängligt: Inga licenskostnader för ramverket själv

CIS 18 är en stark utgångspunkt, men i praktiken måste de flesta företag förhålla sig till flera ramverk samtidigt: NIS2, GDPR, DORA, ISO 27001 och andra. Med OpinioSec Compliance & Security Portal (OCSP) mappas NodeZero-fynd automatiskt till över 250 ramverk på en gång via en live compliance-dashboard. Ni väljer ert regim och rapporterna justeras därefter, redo för tillsyn på under 60 sekunder.

De 18 kontrollerna i översikt

Implementation Groups: Börja där ni är

CIS 18 är designat för att vara skalbart. Ni behöver inte implementera allt på en gång:

• IG1 (56 safeguards): Grundläggande cyberhygien. Det absoluta minimum varje organisation bör ha. Passar mindre företag med begränsad IT-expertis.
• IG2 (130 safeguards totalt): För medelstora organisationer med flera avdelningar och compliance-behov. Här befinner sig de flesta NIS2-omfattade företag.
• IG3 (153 safeguards totalt): För stora organisationer med dedikerade säkerhetsteam och behov av att motstå sofistikerade angrepp.

Implementation Groups är kumulativa, IG2 inkluderar allt från IG1, och IG3 inkluderar allt från IG2. Ni bygger ovanpå, inte om.

Den konkreta mappningen: CIS 18 → NIS2 Artikel 21

Här blir det praktiskt. CIS har utgivit en officiell mapping mellan sina kontroller och NIS2-direktivet. Det betyder att ni kan ta varje NIS2-krav och se exakt vilka CIS-kontroller som adresserar det:

Denna tabell är er översättningsnyckel. Ta med den till nästa styrelsemöte.

Artikel 21(f): Det förbisedda NIS2-kravet som kräver bevis

Låt oss zooma in på ett specifikt krav som ofta förbises men som kan bli avgörande vid en tillsyn.

Artikel 21, stk. 2, litra (f) kräver:

”Policyer och procedurer för bedömning av effektiviteten av åtgärder för hantering av cybersäkerhetsrisker”

Med andra ord: Det räcker inte att ha säkerhetsåtgärder. Ni ska bevisa att de fungerar.

Ni kan ha världens bästa brandväggspolicy, den mest detaljerade incident response-plan och MFA på alla system. Men om ni inte systematiskt testar och dokumenterar att dessa åtgärder faktiskt stoppar angrepp, uppfyller ni inte kraven.

Hur bevisar ni effektivitet?

Det finns flera metoder, sårbarhetsskanning, audits, tabletop-övningar, men penetrationstest är den mest erkända och direkta metoden för att bedöma om era säkerhetskontroller håller i praktiken.

En pentest simulerar ett verkligt angrepp mot er infrastruktur. Den visar inte bara teoretiska sårbarheter, den bevisar om en angripare faktiskt kan utnyttja dem, hur långt de kan komma och om era försvarsmekanismer upptäcker och stoppar angreppet. Och när fynd mappas direkt till era kontrollkrav, inte bara som CVE-nummer utan som kontroller som misslyckas, får ni auditerbara rapporter som fungerar som konkret compliance-bevis inför tillsyn och revision.

Som en tysk säkerhetsexpert formulerar det: ”NIS2 kräver inte explicit penetrationstest, men direktivet ställer krav som knappast är genomförbara eller verifierbara utan det.”

CIS 18 håller med då Control 18 är dedikerat specifikt till penetrationstest som den ultimata valideringen av alla övriga kontroller.

Och just här ligger en viktig poäng: compliance är ett minimum, inte ett mål i sig. Ni kan kryssa av i alla scheman och fortfarande vara sårbara. Verklig säkerhet kräver att ni går från checkbox till validering, att ni testar om era åtgärder faktiskt stoppar ett angrepp, inte bara om de är dokumenterade.

Traditionell vs. automatiserad pentest: Vad passar för NIS2-kraven?

När vi talar om pentest som NIS2-compliance-metod är det viktigt att förstå skillnaden mellan det traditionella tillvägagångssättet och det automatiserade.

Jämförelse

364 dagar blind

Här är den obehagliga sanningen om det traditionella tillvägagångssättet: Om ni pentestår en gång om året har ni en ögonblicksbild av er säkerhet. De återstående 364 dagarna opererar ni utan validering.

Nya sårbarheter offentliggörs dagligen. Konfigurationer ändras. Medarbetare byter jobb och deras konton förblir aktiva. En pentest från mars säger er inget om er säkerhetssituation i november.

För NIS2-kraven om löpande bedömning av effektivitet är en årlig snapshot ett minimum, men det matchar inte direktivets anda.

Vad automatiserad pentest levererar

Moderna automatiserade pentest-plattformar fungerar som en autonom angripare som testar er infrastruktur på samma sätt som en verklig threat actor:

• Intern pentest: Testar internt nätverk för lateral movement, privilege escalation och misconfigurations
• Extern pentest: Utvärderar er externa angreppsyta
• Cloud-pentest: Testar AWS, Azure och hybridmiljöer
• Webbapplikationstest: Simulerar angrepp mot webbapplikationer
• AD-audit: Verifierar lösenordspolicyer och Active Directory-säkerhet

Viktigast: Plattformen levererar detaljerad fix-vägledning per fynd och möjlighet att revalidera reparationer utan att köra ett fullt nytt test.

Kombination är bäst

Det starkaste tillvägagångssättet kombinerar båda metoderna:

• Automatiserad pentest som er löpande baseline, veckovisa eller månatliga tester som håller er uppdaterade
• Årlig manuell pentest ersätts av kontinuerlig automatiserad validering som täcker långt mer än en årlig snapshot

Denna kombination ger er både bredd (kontinuerlig täckning) och djup (expertdriven kreativitet) och tillfredsställer NIS2:s krav på löpande effektivitetsbedömning.

NodeZero: Plattformen bakom automatiserad pentest hos OpinioSec

Hos OpinioSec använder vi NodeZero från Horizon3.ai. Och låt oss vara helt tydliga: NodeZero är inte en sårbarhetsskanner. Har ni Qualys eller Tenable har ni en CVE-lista. NodeZero är en autonom angripare som kedjar samman svagheter, utnyttjar dem och dokumenterar hela vägen från initial access till domain compromise. Det är en helt annan liga.

Vad gör NodeZero annorlunda?

• Autonom angreppslogik: NodeZero kedjar samman sårbarheter, precis som en mänsklig angripare. Den hittar inte bara en svaghet, den visar hela angreppsvägen från initial access till domain compromise.
• Proof of exploitation: Varje fynd dokumenteras med bevis för att det faktiskt kan utnyttjas, inte bara en teoretisk riskpoäng.
• Fix-vägledning med prioritering: Varje fynd kommer med konkret vägledning för åtgärd, prioriterat efter faktisk påverkan, inte CVSS-poäng i ett vakuum.
• 1-klicks verifiering: När ni har rättat en sårbarhet kan ni revalidera med ett klick. Inget nytt fullständigt test nödvändigt.
• Kontinuerlig compliance-dokumentation: Varje test genererar rapporter som dokumenterar er säkerhetsställning, redo för NIS2-tillsyn.

NodeZero och NIS2-krav: Artikel 21(f)

NodeZero löser det problem som många företag kämpar med: löpande, dokumenterat bevis för att säkerhetsåtgärderna fungerar. Kör ett test idag, få resultaten imorgon, rätta fynden, verifiera reparationerna och upprepa nästa vecka. Det är exakt den kontinuitet som krävs av NIS2-kraven.

Er roadmap: 3 steg för att uppfylla NIS2-krav

Nog teori. Här är er konkreta handlingsplan.

Steg 1: Gap-analys mot CIS 18

Börja med att kartlägga var ni står idag.

• Välj er Implementation Group: De flesta NIS2-omfattade företag bör sikta mot IG2 som minimum
• Gå igenom varje CIS-kontroll mot er nuvarande praxis: Vad har ni? Vad saknas? Vad är delvis implementerat?
• Prioritera gaps baserat på risk och NIS2-kraven i Artikel 21
• Dokumentera resultatet detta blir er baseline och er compliance-evidens

En strukturerad gap-analys tar typiskt 2-4 veckor, beroende på organisationens storlek och komplexitet.

Resultat: En tydlig bild av er mognad och en prioriterad lista över vad som behöver göras.

Steg 2: Implementera prioriterade kontroller (IG1 → IG2 → IG3)

Med er gap-analys i handen, implementera systematiskt:

Börja med IG1-grunden:

• Asset inventory (CIS 1, 2), ni kan inte skydda vad ni inte känner till
• Secure configuration (CIS 4), härda era system utifrån erkända baselines
• Account och access control (CIS 5, 6), MFA, least privilege, stram åtkomststyrning
• Data recovery (CIS 11), backup som faktiskt är testad
• Security awareness (CIS 14), träna era medarbetare

Bygg vidare med IG2:

• Continuous vulnerability management (CIS 7)
• Audit log management (CIS 8)
• Network monitoring (CIS 13)
• Service provider management (CIS 15)
• Incident response (CIS 17)

Avancerat med IG3:

• Application software security (CIS 16)
• Penetration testing (CIS 18)
• Avancerat nätverksförsvar (CIS 13, utvidgade safeguards)

Varje steg bygger ovanpå det föregående. Ni behöver inte nå IG3 på dag ett, men ni ska ha en plan och kunna dokumentera progression.

Resultat: Konkreta säkerhetsförbättringar som mappar direkt till NIS2-kraven.

Steg 3: Validera kontinuerligt med NodeZero

Det sista steget sluter cirkeln och uppfyller det kritiska kravet i Artikel 21(f).

• Kör NodeZero regelbundet, veckovis eller månadsvis som minimum
• Använd resultaten aktivt: Prioritera remediering baserat på faktisk exploiterbarhet, inte bara CVSS-poäng
• Revalidera reparationer med 1-klicks verifiering för att säkerställa att de faktiskt täpper igen hålen
• Dokumentera allt, NodeZero:s rapporter via OCSP utgör er compliance-evidens
• Dokumentera allt, NodeZero:s rapporter, remedieringsåtgärder och revalideringar utgör er compliance-evidens

Resultat: Löpande, dokumenterat bevis för att era säkerhetsåtgärder fungerar, precis vad NIS2 kräver.

Från NIS2-krav till handling

NIS2 är inte en papperstiger. Med personligt ledningsansvar, böter upp till 75 miljoner SEK och snäva rapporteringsfrister är konsekvenserna verkliga. Men compliance behöver inte vara oöverkomligt.

Låt oss sammanfatta:

• NIS2 definierar vad ert företag ska leva upp till
• CIS 18 Controls ger er hur, ett prioriterat, skalbart ramverk med officiell NIS2-mapping
• NodeZero bevisar att det fungerar, löpande, dokumenterat och i enlighet med Artikel 21(f)

De tre elementen tillsammans ger er en komplett, pragmatisk väg från lagkrav till verklig cybersäkerhet.

OpinioSec ger er verktyget för att uppfylla NIS2-krav

Vi ger svenska företag tillgång till de verktyg som gör NIS2-compliance konkret och mätbart, med NodeZero som centralt fokus.

Med OpinioSec får ni:

• NodeZero-plattformen, autonom pentest som kör när ni vill, så ofta ni vill, levererat av Nordens mest erfarna NodeZero-partner och enda svenska Horizon3.ai Guldpartner
• OpinioSec Compliance & Security Portal (OCSP), live compliance-dashboard med automatisk mapping till NIS2, GDPR, DORA, ISO 27001 och 250+ andra ramverk
• 5 rapporttyper, Pentest-historik, Säkerhetsposition, Kronjuvel-exponering, Compliance-audit och Executive Summary, genererade on-demand på under 60 sekunder som PDF eller Excel
• Kronjuvel-prioritering, 50+ auto-detektionsmönster identifierar och prioriterar fynd som hotar era mest kritiska assets
• Avancerad planering, 12-månaders kalendervy med blackout-fönster, regionala mallar och iCal-integration
• 13 realtidsalarmtyper, från kritiska fynd på kronjuveler till compliance-statusförändringar, levererade omedelbart
• Gap-analys mot CIS 18, vi mappar er nuvarande säkerhet mot NIS2-kraven
• Manipulationssäkert audit trail, fullständig loggning av alla åtgärder, redo för revision och tillsyn
• Manipulationssäkert audit trail, fullständig loggning av alla åtgärder, redo för revision

NIS2 är i kraft. Ert verktyg för compliance är redo.

Se hur automatiserad pentest validerar er NIS2-compliance, boka en gratis NodeZero-demo https://horizon3.ai/

Vanliga frågor om NIS2-krav

Läs också

• Kontinuerlig penetrationstest: Varför årlig pentest inte räcker
• Pentest pris: Automatiserad vs. traditionell
• Se NodeZero produktsida →
• NodeZero i praktiken: Så kör vi en autonom pentest på under 4 timmar
• NIS2-compliance själv: Validera er säkerhet utan dyra konsulter
• IT Säkerhetstest: 5 Metoder för att Validera Er Cybersäkerhet

Denna artikel är utgiven av OpinioSec i februari 2026. Vill ni se NodeZero i aktion och förstå hur automatiserad pentest kan validera er NIS2-compliance? Boka en gratis demo.

The post NIS2-krav: Er styrelse hålls personligt ansvarig för cybersäkerhet appeared first on Opiniosec.