Förhoppningsvis väntar snart några lediga sommarveckor för de flesta av oss. Men innan dess behöver många företag skapa förberedelse för ytterligare en regelförändring inom säkerhetsområdet. Den 13 juni antog nämligen Riksdagen en ny lag, Informationssäkerhet för samhällsviktiga och digitala tjänster, vilket bland annat innebär att EU-direktivet NIS (Network and Information Security) införlivas i svenska lag redan från och med 1 augusti i år. Lagen gäller företag verksamma inom branscher som energi, transport, bank- och finans, hälso- och sjukvård, dricksvattenförsörjning och digital infrastruktur och är primärt riktad mot leverantörer av kritisk infrastruktur, det vill säga de som får vårt samhälle att fungera.

Richard Oehme, Director PwC – Cybersäkerhet och kritisk infrastruktur (samhällssäkerhet)

I praktiken innebär det här att tekniska och organisatoriska säkerhetsåtgärder måste införas och att allvarliga IT-incidenter ska rapporteras till Myndigheten för samhällsskydd och beredskap. En tillsynsmyndighet för varje sektor kommer att ansvara för att regelverket följs och de kommer även att ha behörighet att besluta om sanktioner och viten. Bötesbelopp på upp till 10 miljoner kronor kan drabba ett bolag som inte följer lagen.

När PwC i våras gjorde en temperaturmätning av förberedelsen för NIS var resultaten oroväckande. Undersökningen Digital hållbarhet 2025 visade nämligen att knappt hälften (48 procent) av de bolag som berörs av NIS ansåg sig vara positionerade för förändringen. Motsvarande siffra för GDPR var hela 91 procent. Frågan är då om det helt enkelt har funnits en slagsida mot GDPR när det gäller bolagens förhållningssätt till 2018 års två stora säkerhetsförändringar? Än mer komplext blir läget våren 2019 då vi kan lägga till en tredje utmaning i och med att den nya svenska säkerhetsskyddslagen träder i kraft, en lag som klubbades av riksdagen för några veckor sedan. Spelreglerna förändras då ytterligare och det gäller att redan nu analysera vilken eller vilka av lagarna som då omfattar den egna verksamheten så att inte onödiga kostnader uppstår.

Många verksamheter behöver nu inse att de här säkerhetsförändringarna är verksamhetskritiska och att de måste lyftas in i ledningsgrupper och styrelserum. Därför är det oroande att vår undersökning kom fram till att bara 20 procent av de svenska bolagens IT-säkerhetsansvariga rapporterar direkt till företagsledning eller styrelse. En avsevärd skillnad mot omvärlden där 67 procent gör motsvarande rapportering enligt en global undersökning från PwC.

Än finns det tid till förberedelse för den förändring som NIS innebär – Men sommaren är kort i detta fall – Så innan du tar ett dopp i det blå och sköljer bort sanden mellan tårna – Se till att ert företag har beredskap inför den nya lagstiftningen som börjar gälla 1 augusti.