Nyheter och ändringar
Ändringar i standarden, nya wetsvindplaatsen och vad avnämare och banker i praktiken har börjat fråga — och vad du behöver göra med det.
Flerfaktorsautentisering i metall- och tillverkningsindustrin: när är det obligatoriskt och när inte?
Skyddsåtgärdsplikten namnger ingen teknik specifikt, men beskriver där starkare åtkomstkontroll förväntas — och varför äldre produktionssystem ofta kräver ett annat tillvagagångssätt.
Läs mer →Säkerhetskopior och återställning inom metall- och tillverkningsindustrin: när testade du det senast?
En säkerhetskopia som finns säger ingenting om ingen har försökt återställa den. Den här artikeln förklarar varför just inom metall- och tillverkningsindustrin är återställningstestet själva huvudpunkten, inte säkerhetskopian i sig.
Läs mer →Incidentregistrering i metall- och tillverkningsindustrin: vad dokumenterar du?
Vad måste du dokumentera när en cyberincident påverkar din produktionsmiljö, och varför maskiner som är anslutna till nätverket kräver en annan metod än en bärbar dator på kontoret.
Läs mer →Åtkomstbehov i metall- och tillverkningsindustrin: vem får åtkomst till vilka produktionssystem?
En praktisk förklaring av åtkomstbehov för tillverkningsföretag: vem får åtkomst till vilka system, hur konfigurerar du detta för maskiner och PLC:er som är anslutna till nätverket, och exakt vad frågar kunderna om detta.
Läs mer →Vilka krav ställer en uppdragsgivare på metall- och tillverkningsindustrin efter NIS2?
Uppdragsgivare som själva omfattas av NIS2 omvandlar sina skyldigheter att vidta åtgärder till kontraktskrav för leverantörer inom metall- och tillverkningsindustrin — med särskild uppmärksamhet på maskiner och produktionssystem som är anslutna till nätverket.
Läs mer →Omfattas metall- och tillverkningsindustrin av NIS2?
För metallföretag och maskinbyggare beror en skyldighet enligt NIS2 på tre saker samtidigt: den exakta sektorn, företagets storlek och positionen i leveranskedjan för en större uppdragsgivare.
Läs mer →Säkerhetsfrågelista inom metall- och tillverkningsindustrin: vilka frågor återkommer?
Underleverantörer inom metall- och tillverkningsindustrin får ofta samma frågor ställda om sin produktionsmiljö. Den här artikeln presenterar de återkommande kategorierna, med produktionssystem som är anslutna till nätverket som kärnan.
Läs mer →Medvetenhet och utbildning inom installationsbranschen: vad kräver åtgärdsplikten enligt NIS2?
Åtgärdsplikten kräver att anställda i ett installationsföretag regelbundet görs medvetna om cyberrisker; för ledamöter i ledningen gäller en separat, personlig utbildningsskyldighet. Denna artikel förklarar skillnaden.
Läs mer →Vad ska ett informationssäkerhetspolicy för ett installationsföretag innehålla?
En översikt över vad ett informationssäkerhetspolicy för installationsbranschen bör innehålla, särskilt eftersom montörer på plats hos kunder har tillgång till byggnader och system.
Läs mer →Leverantörsföretagets policy för installationsföretag: hur bedömer ni vem som får komma in hos er kund?
Ett installationsföretag arbetar själv också med underentreprenörer, egenföretagare och leverantörer som får tillgång till er klients byggnader och system. Den här artikeln visar hur ni kartlägger och bedömer er egen leverantörskedja.
Läs mer →Multifaktorautentisering i installationsbranschen: var är det obligatoriskt och var inte?
En översikt över var tvåstegsverifiering förväntas i installationsbranschen, och varför åtkomst till byggnader och system hos kunder på plats ofta kräver en separat bedömning.
Läs mer →Säkerhetskopior och återställning inom installationsbranschen: när testade ni det senast?
En säkerhetskopia som aldrig har återställts är ingen garanti utan ett antagande. Den här artikeln förklarar vad "testa" konkret betyder för ett installationsföretag med tillgång till kunders byggnader och system.
Läs mer →Incidentregistrering inom installationsbranschen: vad dokumenterar du när något går fel?
En störning, en stulen nyckel eller ett felaktigt konto hos en kund: vad ett installationsföretag dokumenterar när något går fel, och varför det är mer än en felrapport i ett ticketsystem.
Läs mer →Åtkomststyrning i installationsbranschen: vem får tillgång till vilka system och nycklar?
Åtkomststyrning är åtgärden som säkerhetsfrågelistor oftast ställer följdfrågor om. För installationsföretag handlar det inte bara om lösenord, utan också om nycklar, märken och åtkomst hos kunden på plats.
Läs mer →Vilka krav ställer en uppdragsgivare på installationsföretag efter NIS2?
Uppdragsgivare som själva omfattas av NIS2-skyddsplikt översätter denna förpliktelse till avtalsvillkor för installatörer — särskilt avseende åtkomst till byggnader, nycklar och byggnadssystem. Den här artikeln förklarar vad du kan förvänta dig och varför.
Läs mer →Omfattas installationsbranschen av NIS2?
För installationsföretag beror svaret på sektor, storlek och den åtkomst de har till byggnader och system hos kunder som själva omfattas av NIS2.
Läs mer →Säkerhetsfrågelista i installationsbranschen: vilka frågor återkommer?
Ett installationsföretag som arbetar på plats hos kunder och hanterar system på distans får ofta en säkerhetsfrågelista med specifika frågor om åtkomst till byggnader och system. Den här artikeln sammanfattar de återkommande frågorna.
Läs mer →Säkerhetsbiskyddsutbildning i mjukvaran utveckling: vad kräver omsorgsplikt?
NIS2-omsorgsplikt kräver att mjukvaran utvecklare utbildar anställda i säkerhetsbiskydd, och ställer dessutom en separat, personlig utbildningsskyldighet på direktörer. Den här artikeln förklarar skillnaden.
Läs mer →Vad ska ingå i informationssäkerhetspolicyn för mjukvaruutveckling?
En informationssäkerhetspolicy för mjukvaruutveckling beskriver både hur du säkrar den produkt du bygger och hur du skyddar din egen utvecklingsmiljö — denna artikel beskriver vilka delar som hör hemma där.
Läs mer →Leverantörspolicy för programvaruutveckling: hur granskar ni era egna leverantörer?
Programvaruföretag får själva säkerhetsfrågelistor, men måste också granska sina egna leverantörer. Den här artikeln visar hur ni bygger upp det, med utvecklingspipelinen och koden i er produkt som två separata fokusområden.
Läs mer →Multifaktorautentisering i mjukvaruutveckling: var hör det till och var inte?
En överblick över de platser där tvåfaktorsverifiering i mjukvaruutveckling är lämplig, och situationerna där det är mindre självklart.
Läs mer →Säkerhetskopior och återställning i mjukvaruutveckling: när testade du det senast?
En säkerhetskopia som du aldrig har återställt är ett antagande, inte en åtgärd — särskilt inte för källkoden, utvecklingsprocessen och hemligheterna bakom den.
Läs mer →Incidentrapportering inom mjukvaruutveckling: vad registrerar ni när något går fel?
En översikt över vad ett mjukvaruföretag registrerar vid en incident: skillnaden mellan en sårbarhet i koden som ni levererar och ett problem i er egen utvecklingsmiljö, och vad en kund vill se.
Läs mer →Åtkomstskydd i mjukvaruutveckling: vem får åtkomst till källkoden och utvecklingspipelinen?
En förklaring av vad åtkomstskydd betyder för ett utvecklingsteam: vem som får åtkomst till källkoden, byggpipelinen och produktionsmiljön, och hur du dokumenterar detta i ditt cybersäkerhets-register.
Läs mer →Vilka krav kommer in i kontraktet för mjukvaruutveckling efter NIS2?
En uppdragsgivare som själv omfattas av skyldigheten enligt direktiv (EU) 2022/2555 översätter denna förpliktelse till krav i kontraktet för den mjukvara som ni utvecklar och det sätt på vilket ni utvecklar den. Den här artikeln presenterar vilka krav detta vanligtvis är.
Läs mer →Faller mjukvaruutveckling under NIS2?
Mjukvaruutveckling listas inte som en separat sektor i NIS2-bilagorna, men genom molntjänster eller IT-tjänstleverans, storleken på ert företag och er position som leverantör kan ni fortfarande bli berörda av direktivet.
Läs mer →Vilka frågor får ett programvaruföretag i en NIS2-frågelista?
En översikt över frågor som specifikt återkommer för programvaruutvecklare i säkerhetsfrågelistor: om koden som ni bygger och om utvecklingsvägen där ni gör det.
Läs mer →Är säkerhetsinstruktioner för medvetenhet obligatorisk för ICT-tjänsteleverantörer enligt NIS2?
NIS2 nämner medvetenhet och utbildning som en av de tio riskhantningsåtgärderna, skild från den separat obligatoriska utbildningen för ledningen. Den här artikeln förklarar skillnaden och vad det betyder för en ICT-tjänsteleverantör.
Läs mer →Vad måste finnas i en informationssäkerhetspolicy för en ICT-tjänsteleverantör?
En informationssäkerhetspolicy för en ICT-tjänsteleverantör beskriver hur du hanterar fjärrhantering, åtkomst till kundsystem och underleverantörer — denna artikel visar vilka delar som bör ingå.
Läs mer →Upprätta leverantörspolicy för ICT-tjänster: var börjar ni?
ICT-tjänsteleverantörer får själva frågeformulär från kunder, men ska även bedöma sina egna leverantörer: underleverantörer, verktyg för fjärrhantering och alla med tillgång till kundsystem.
Läs mer →Multifaktorautentisering i ICT-tjänster: var krävs det och var inte?
Multifaktorautentisering förekommer i praktiskt taget alla NIS2-åtgärder för cyberrisker och i varje säkerhetsfrågelista, men kraven skiljer sig åt beroende på åtkomstväg. Denna artikel visar var MFA förväntas strukturellt och var debatten fortfarande är öppen.
Läs mer →Säkerhetskopior och återställning i IT-tjänster: när testade ni det senast?
En säkerhetskopia som finns men aldrig har återställts räknas inte i en bedömning av omsorgsplikten. Vad det betyder i praktiken för fjärrhantering, åtkomst till kundsystem och underleverantörer.
Läs mer →Incidentregistrering inom ICT-tjänster: vad dokumenterar du?
Som ICT-tjänsteleverantör arbetar du ofta på distans i kundernas system, ibland tillsammans med en underleverantör. Den här artikeln beskriver vad du dokumenterar när något går fel, så att du senare kan visa det.
Läs mer →Åtkomststyring i ICT-tjänstleverans: vem får åtkomst till vad?
En förklaring av vad åtkomststyrning innebär enligt artikel 21 i NIS2-direktivet, och varför frågelistor särskilt noggrant granskar fjärrhantering, kundåtkomst och underleverantörer.
Läs mer →Vad ett uppdragsgivare kräver från ICT-tjänstleveransen efter NIS2
Uppdragsgivare som själva omfattas av NIS2-skyddsplikt omvandlar denna skyldighet till kontraktskrav för sina ICT-leverantörer — om åtkomst till system, fjärrhantering och underleverantörer.
Läs mer →Omfattas ICT-tjänsten av NIS2?
För ICT-tjänsteleverantörer är svaret tvådelat: en del omfattas själv av NIS2:s sektorlista, en mycket större del påverkas eftersom kunder måste bedöma dem som leverantör med åtkomst till system.
Läs mer →Säkerhetsfrågeformulär inom IT-tjänster: vilka frågor dyker upp återkommande?
IT-tjänsteleverantörer får ofta de mest detaljerade säkerhetsfrågeformulären på grund av sin åtkomst till kundsystem. Den här artikeln presenterar återkommande ämnen: fjärrhantering, åtkomst till kundsystem och underleverantörer.
Läs mer →Återanvänd säkerhetsfrågeformulär: varför det tar bara minuter andra gången
Den första säkerhetsfrågeformuläret från en kund tar timmar av sökning och formulering. Den som dokumenterar svaren i en dossiér märker att andra och tredje formuläret bara kräver en kontroll och ett par justeringar.
Läs mer →Att hantera NIS2 som SMF: hur bygger du ett dossier utan att göra det till ett årsprojekt?
Ett NIS2-dossier behöver inte vara ett långsiktigt projekt: börja med vad ditt företag redan har och arbeta igenom åtgärd för åtgärd med status, ansvarig och dokumentation.
Läs mer →NIS2 eller DORA: vilken förordning gäller för min organisation?
Finansiella institutioner faller under DORA och inte under NIS2. Den här artikeln förklarar hur du utifrån din sektor ser vilken förordning som gäller för din organisation.
Läs mer →Hur höga är böterna för NIS2, och vilka kan egentligen få dem?
Direktiven nämner höga maximistöden, men dessa gäller endast för organisationer som själva omfattas av NIS2. För den mycket större gruppen leverantörer är inte böterna risken, utan snarare avtalet som försvinner tidigare.
Läs mer →Är en styrelseledamot personligt ansvarig enligt NIS2?
NIS2 lägger en del av ansvaret för cybersäkerhet direkt på ledningen: godkänna, övervaka och utbilda. Den här artikeln förklarar vad det innebär i praktiken och varför det inte kan delegeras till en leverantör.
Läs mer →Finns det ett NIS2-certifikat?
Nej — det finns inget officiellt NIS2-certifikat och ingen myndighet som utfärdar det. Den här artikeln förklarar vad direktivet faktiskt kräver och hur du påvisar det på ett trovärdigt sätt.
Läs mer →NIS2 och ISO 27001: vad är skillnaden?
Ett ISO 27001-certifikat täcker mycket av vad NIS2:s skyldighet för riskhanteringsåtgärder kräver, men inte registreringskraven och inte anmälningsskyldigheten till en tillsynsmyndighet.
Läs mer →NIS2-registrering hos tillsynsmyndigheten: hur fungerar det?
Kritiska och viktiga enheter måste registrera sig själva hos den nationella tillsynsmyndigheten — denna artikel förklarar vilka uppgifter som krävs för detta och varför ingen påminner er om det.
Läs mer →NIS2-anmälningsplikt: vad betyder exakt 24 timmar, 72 timmar och en månad?
NIS2-direktivet föreskriver tre anmälningstidpunkter efter en betydande incident. Vad som förväntas vid varje tidpunkt skiljer sig från vad som oftast påstås.
Läs mer →Vilka tio åtgärder förväntas av er organisation enligt NIS2:s skyddsplikt?
Artikel 21 i NIS2-direktivet anger tio slag av säkerhetskontroller. Den här artikeln förklarar i enkla ordalag vad varje kontroll innebär och hur du ser att den är implementerad.
Läs mer →Säkerhetsfrågelist från en kund: vad ska du göra med den?
En kund skickar en långt frågeformulär om din säkerhet och hänvisar till NIS2. Vad denna lista betyder, varför den kommer och hur du kommer till ett användbart svar.
Läs mer →Omfattas mitt företag av NIS2?
Två frågor avgör om ditt företag själv omfattas av NIS2-direktivet: den sektor där du är verksam och organisationens storlek. Om du inte omfattas av det kan du ändå komma i kontakt med det via en kund eller leverantör.
Läs mer →