Gratis · ingen registrering
NIS2-verktyget
Ta reda på om NIS2 gäller ditt företag, bedöm er beredskap och gör en åtgärdsplan. Dessutom en räknare för tidsfristerna för incidentrapporter. Allt fungerar i din webbläsare.
Gäller NIS2 ditt företag?
Tre frågor om bransch och storlek. Du får en riktgivande bedömning av om ni är en väsentlig eller viktig entitet eller faller utanför tillämpningsområdet.
Väsentlig entitet
NIS2 gäller sannolikt ditt företag som väsentlig entitet
Väsentliga entiteter övervakas förebyggande, och skyldigheterna är mest omfattande. Anmäl er till tillsynsmyndigheten och börja med riskhanteringsåtgärderna.
Viktig entitet
NIS2 gäller sannolikt ditt företag som viktig entitet
Viktiga entiteter har samma riskhanterings- och rapporteringsskyldigheter som väsentliga, men tillsynen sker främst i efterhand, till exempel efter en incident eller ett tips.
Under storleksgränsen
Ditt företag ligger sannolikt under storleksgränsen
NIS2 gäller i regel minst medelstora företag. Även ett mindre företag kan omfattas, till exempel om det är den enda leverantören inom sin bransch. Dessutom kan kunder som omfattas av NIS2 kräva samma saker av sina leverantörer.
Inte direkt
NIS2 gäller sannolikt inte ditt företag direkt
Din bransch finns inte i NIS2-bilagorna. Om era kunder omfattas av NIS2 måste de ändå bedöma sina leverantörer, och samma grunder lönar sig att ha i ordning även hos er.
Vi tittar tillsammans
Branschavgränsningen kräver en närmare titt
NIS2:s sektoravgränsningar är detaljerade. Vi går igenom bilagorna tillsammans, så vet du säkert om lagen gäller er och vad den kräver.
Era kunder omfattas av NIS2. De måste säkerställa säkerheten i sin leveranskedja, så förbered er på enkäter, avtalskrav och revisioner.
Vad det betyder i praktiken
- Anmäl er till registret hos tillsynsmyndigheten för er sektor.
- Genomför riskhanteringsåtgärderna (NIS2 artikel 21): riskbedömning, incidenthantering, kontinuitet, leveranskedjan, cyberhygien, kryptering, åtkomstkontroll och flerfaktorsautentisering.
- Rapportera betydande incidenter: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad.
- Ledningen godkänner åtgärderna, övervakar dem och utbildar sig. Ledningen kan hållas ansvarig för försummelser.
- Sanktionsavgiften kan för en väsentlig entitet vara högst 10 miljoner euro eller 2 % av omsättningen och för en viktig högst 7 miljoner euro eller 1,4 %.
I Finland har NIS2 genomförts genom cybersäkerhetslagen, som trädde i kraft i april 2025. Bedömningen är riktgivande och ersätter inte en juridisk bedömning eller tillsynsmyndighetens ståndpunkt.
Hur redo är ditt företag?
Två frågor för varje område i NIS2. Du får beredskapen i procent per område och en lista över brister som blir en åtgärdsplan.
Åtgärdsplan
Bristerna i beredskapsbedömningen blev en lista. Ange ansvarig, tidsfrist och status. Uppgifterna sparas bara i den här webbläsaren.
Gör först beredskapsbedömningen, så skapas åtgärdslistan här.
Er beredskap
0 %
NIS2-bedömning:
Alla områden är i ordning. Bra jobbat! Se till att det hålls aktuellt.
Åtgärder i prioritetsordning
-
Ledningens ansvar
Låt ledningen godkänna riskbedömningen och åtgärdsplanen, och kom överens om hur ofta ledningen går igenom läget, till exempel kvartalsvis.
-
Ledningens ansvar
Ordna en kort utbildning för ledningen om NIS2-skyldigheterna, ledningens ansvar och företagets viktigaste risker.
-
Riskhantering och policyer
Gör en riskbedömning: lista de viktigaste tjänsterna och uppgifterna, hoten mot dem samt sannolikhet och konsekvens. Uppdatera minst en gång om året.
-
Riskhantering och policyer
Dokumentera informationssäkerhetspolicyn: mål, ansvar och principer. En färdig mall gör arbetet snabbare.
-
Incidenthantering
Dokumentera en incidentinstruktion: vem som beslutar, vem man ringer, hur systemet isoleras och hur händelserna dokumenteras.
-
Incidenthantering
Inför loggning och larm för de viktigaste systemen, till exempel de färdiga larmen i Microsoft 365.
-
Incidentrapportering
Dokumentera rapporteringskedjan och myndighetens kontaktuppgifter: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad.
-
Incidentrapportering
Håll en årlig bordsövning där en tänkt incident gås igenom från upptäckt till slutrapport.
-
Kontinuitet och säkerhetskopior
Säkerhetskopiera även molntjänsterna, förvara en kopia separat och testa återställningen regelbundet.
-
Kontinuitet och säkerhetskopior
Dokumentera hur de viktigaste tjänsterna återställs och vem som leder i en kris. Ha planen tillgänglig även när systemen inte fungerar.
-
Säkerhet i leveranskedjan
Lista de leverantörer vars störning skulle stoppa verksamheten, och bedöm deras säkerhet till exempel med en enkät.
-
Säkerhet i leveranskedjan
Lägg till en säkerhetsbilaga i avtalen: minimikrav, rapportering av incidenter och rätt till granskning.
-
Anskaffning, utveckling och sårbarheter
Inför automatiska uppdateringar och kom överens om inom vilken tid kritiska sårbarheter åtgärdas.
-
Anskaffning, utveckling och sårbarheter
Lägg till säkerhetskrav i checklistan för anskaffningar: autentisering, loggar, var data lagras och uppdateringar.
-
Bedömning av åtgärdernas effektivitet
Gör ett årshjul: när åtgärderna gås igenom, vem som bedömer och hur iakttagelserna åtgärdas.
-
Bedömning av åtgärdernas effektivitet
Välj några mätare, till exempel täckningen för uppdateringar, användningen av flerfaktorsautentisering och andelen som gått utbildningen.
-
Cyberhygien och utbildning
Ordna regelbunden utbildning och öva på att känna igen bedrägerimeddelanden.
-
Cyberhygien och utbildning
Skriv korta instruktioner för personalen och gå igenom dem vid introduktionen.
-
Kryptering
Inför diskkryptering på alla enheter och säkerställ att tjänsterna använder krypterade förbindelser.
-
Kryptering
Dokumentera vad som krypteras, med vilka metoder och vem som hanterar nycklar och återställningsnycklar.
-
Personalsäkerhet, åtkomstkontroll och tillgångar
Gör en lista över system och användare, ge behörigheter efter behov och granska dem regelbundet.
-
Personalsäkerhet, åtkomstkontroll och tillgångar
Sammanställ en förteckning över enheter och system med ägare och håll den aktuell.
-
Flerfaktorsautentisering och kommunikation
Inför flerfaktorsautentisering överallt där man kommer åt från internet, särskilt för administratörskonton.
-
Flerfaktorsautentisering och kommunikation
Kom överens om en reservkanal och förvara de viktigaste kontaktuppgifterna även utanför systemen.
Visa resultatet per område
Verktyget fungerar helt i din webbläsare. Svaren och planen skickas inte till Foregon eller någon annan: de sparas bara i den här webbläsaren tills du tömmer dem.
Rapporteringsfrister för incidenter
Ange tidpunkten då en betydande incident upptäcktes. Verktyget räknar ut tidsfristerna enligt NIS2.
- Tidig varning – senast 24 timmar efter upptäckten
- Incidentanmälan – senast 72 timmar efter upptäckten
- Slutrapport – senast en månad efter incidentanmälan
Rapporterna lämnas till tillsynsmyndigheten för er sektor. Om incidenten fortfarande pågår när slutrapporten skulle lämnas, lämnas en lägesrapport och slutrapporten en månad efter att incidenten har hanterats.