vad händer om jag inte uppfyller kraven i direktiv (EU) 2022/2555

Tillsyn, åtgärd och slutligen sanktion

När NIS2-förpliktelserna inte följs, följer i praktiken först tillsyn och möjlighet att åtgärda, och först därefter — om det inte sker — sanktion från tillsynsmyndigheten. Cyberbeveiligingswet, den nederländska genomförandet av NIS2, ger tillsynsmyndigheten instrument för att kontrollera om en organisation uppfyller sin säkerhetskyddsplikt och anmälningsplikt. Vilken tillsynsmyndighet som är ansvarig varierar per sektor; det finns utförligt beskrivet på sidan om vilken tillsynsmyndighet övervakar min sektor enligt direktiv (EU) 2022/2555. Vid brister kan tillsynsmyndigheten ge instruktioner, påtvinga bindande anvisningar eller, i ett senare skede, gå vidare till tillsyn.

Vad det konkret innebär beror på vad som går fel: saknad av de tio obligatoriska åtgärder från säkerhetskyddsplikten, en anmälan som kommer för sent eller inte alls, eller en leverantörskedja som inte har bedömts. För anmälningsplikten gäller att det finns specifika anledningar när anmälan måste göras; det är utförligt beskrivet på sidan om när måste jag anmäla en cyberincident till tillsynsmyndigheten. För säkerhetskyddsplikten handlar det om en rad åtgärder som tillsammans måste vara i ordning, beskrivna på sidan om vilka tio åtgärder måste jag vidta enligt direktiv (EU) 2022/2555. Det finns också en separat fråga om ledningen personligen kan ställas till ansvar för en överträdelse, som behandlas separat på sidan om styrelseledares ansvar vid en NIS2-överträdelse.

Grund i direktivet och den nationella lagen

De förpliktelser som granskas kommer från artikel 21 i NIS2-direktivet, som fastställer omsorgsansvaret med de tio åtgärderna och från anmälningsplikten som är separat därifrån; cybersäkerhetslangen omvandlar dessa förpliktelser till svensk rätt och reglerar också tillsynsmyndighetens befogenheter. Den exakta utformningen av tillsynen och sanktionerna följer av denna nationella lag och av publikationer från tillsynsmyndigheterna själva, inklusive NCSC.