Hur NIS2 styr incidenthantering och riskdokumentation

Incidenthantering och riskdokumentation låter som två separata arbetsflöden. I praktiken hänger de ihop, och det är just den kopplingen som NIS2-direktivet bygger på. Cybersäkerhetslagen (SFS 2025:1506), som genomför NIS2 i Sverige sedan den 15 januari 2026, kräver att organisationer hanterar incidenter inom fastställda tidsramar och att riskhanteringen är dokumenterad, uppföljd och integrerad i styrningen.

GRC, som står för Governance, Risk and Compliance (styrning, riskhantering och efterlevnad), är ramverket som binder samman dessa krav. Den här artikeln går igenom hur NIS2 konkret styr arbetet med incidenthantering och riskdokumentation, och vad det innebär för dig som complianceansvarig eller informationssäkerhetsansvarig.

Key Takeaways: NIS2, incidenthantering och riskdokumentation

• NIS2 kräver att incidenter rapporteras med tidig varning inom 24 timmar och fullständig anmälan inom 72 timmar.
• Riskdokumentation under NIS2 måste vara levande, kopplad till den övergripande styrningen och regelbundet uppdaterad efter varje förändring.
• GRC-ramverket samordnar styrning, riskhantering och efterlevnad i en gemensam struktur så att incidenthantering inte hamnar i ett stuprör.
• Draftit stödjer svenska organisationer med strukturerade verktyg för dokumentation och uppföljning inom dataskydd och informationssäkerhet.
• Ledningen bär ett personligt ansvar för att riskhantering och incidentberedskap uppfyller de krav som cybersäkerhetslagen ställer.

Vad innebär incidenthantering enligt NIS2?

Incidenthantering under NIS2 handlar inte bara om att reagera när något går fel. Cybersäkerhetslagen ställer krav på att organisationer har processer på plats innan en incident inträffar. Det innebär dokumenterade rutiner för upptäckt, bedömning, eskalering och rapportering.

Enligt lagen ska en betydande incident rapporteras till Nationellt cybersäkerhetscenter (NCSC) via cyberportalen. En tidig varning ska lämnas inom 24 timmar, och en fullständig incidentanmälan ska vara inne inom 72 timmar. Tidsramarna ger organisationen begränsat utrymme att improvisera.

Enligt ENISA:s tekniska implementeringsvägledning (publicerad juni 2025) ska incidenthanteringsprocessen vara testad och dokumenterad, inte bara beskriven i en policy. Rutinerna behöver vara tillgängliga för de personer som faktiskt fattar beslut under press.

Vilka krav ställer NIS2 på riskdokumentation?

NIS2-direktivet utgår från att riskhantering är grunden för allt säkerhetsarbete. Artikel 21 i direktivet listar tio riskhanteringsåtgärder som organisationer ska vidta, från strategier för riskanalys till kryptografi och leverantörssäkerhet.

I praktiken innebär det att riskanalyser inte kan vara engångsinsatser. De ska vara dokumenterade, kopplade till konkreta åtgärder och regelbundet uppdaterade. Cybersäkerhetslagen kräver att organisationen kan visa för tillsynsmyndigheten hur riskbilden ser ut och vilka beslut som har fattats utifrån den.

NCSC betonar att säkerhetsåtgärder ska vara anpassade till verksamhetens identifierade behov. En riskanalys som stannar på papper utan koppling till faktiska åtgärder och uppföljning uppfyller inte lagens krav.

Hur kopplar GRC ihop incidenthantering och riskdokumentation?

GRC-ramverket skapar strukturen som gör att incidenthantering och riskdokumentation inte lever i separata stuprör. Styrning (governance) ser till att ledningen har insyn och tar ansvar. Riskhantering (risk) identifierar hoten. Efterlevnad (compliance) säkerställer att allt dokumenteras och följs upp.

Under NIS2 blir kopplingen mellan dessa tre områden konkret. En incident som inte kopplas tillbaka till riskanalysen blir en isolerad händelse. En riskanalys som inte uppdateras efter en incident tappar sitt värde. GRC-perspektivet tvingar organisationen att behandla incidenter som datapunkter i det systematiska säkerhetsarbetet.

Det är den typen av samordning som cybersäkerhetslagen förutsätter. Lagen kräver att riskhantering är integrerad i organisationens styrning, att ledningen tar aktivt ansvar och att efterlevnaden kan dokumenteras.

Vad innebär ledningens ansvar för incidenter och riskhantering?

Cybersäkerhetslagen gör det tydligt att cybersäkerhet inte enbart är en IT-fråga. Ledningen, det vill säga styrelse och verkställande ledning, bär ett direkt ansvar för att organisationen har en fungerande styrning av cybersäkerhetsarbetet.

I praktiken innebär det att ledningen behöver förstå riskbilden, godkänna de säkerhetsåtgärder som vidtas och ta ansvar för att incidentrutinerna fungerar. Om en betydande incident inträffar och organisationen inte kan visa att riskhanteringen var på plats, kan konsekvenserna bli kännbara.

Utbildning av ledningen är ett krav i sig. De som fattar strategiska beslut behöver förstå vad riskhantering innebär i praktiken, inte bara ha godkänt en policy.

Leverantörskedjor som del av riskdokumentationen

NIS2 lyfter uttryckligen fram leverantörskedjor som en del av riskbilden. Det räcker inte att säkra den egna organisationen om en leverantör med tillgång till era system har bristfälligt skydd.

Riskdokumentationen behöver därför inkludera tredjepartsberoenden. Det innebär att ni behöver granska leverantörers säkerhetsrutiner, följa upp biträdesavtal och dokumentera hur leverantörsrisker hanteras över tid.

Att inkludera leverantörskedjan i riskanalysen är inte en engångsinsats. Det kräver systematisk uppföljning som en del av det löpande GRC-arbetet.

Hur GDPR-arbetet kan stärka ert NIS2-arbete

Organisationer som redan arbetar strukturerat med dataskydd enligt GDPR har en fördel. Flera processer, som registerförteckningar, riskanalyser och leverantörsuppföljning, är gemensamma för GDPR och NIS2.

GDPR fokuserar på skydd av personuppgifter, medan NIS2 har ett bredare perspektiv på nätverks- och informationssäkerhet. Båda kräver systematiskt arbete med riskhantering och dokumentation. Med ett GRC-perspektiv samordnar ni arbetet och undviker dubbelarbete.

Det innebär att befintliga processer för dokumentation och uppföljning kan byggas ut för att täcka NIS2-kraven, utan att starta från noll.

Praktiska steg för att komma igång med incidentberedskap och riskdokumentation

Att bygga fungerande incidentberedskap och riskdokumentation kräver struktur, men behöver inte vara överväldigande. Här är fyra steg som ger en konkret startpunkt.

1. Inventera era informationstillgångar. Ni kan inte skydda det ni inte vet att ni har. En aktuell förteckning över system, data och beroenden är grunden för riskanalysen.
2. Dokumentera incidentrutinerna. Skriv ner vem som gör vad de första timmarna. Vem upptäcker, vem eskalerar, vem rapporterar till NCSC? Testa rutinerna innan de behövs på riktigt.
3. Koppla riskanalysen till styrningen. Riskanalysen ska nå ledningen och leda till beslut. En analys som stannar hos IT-avdelningen uppfyller inte NIS2:s krav på integrerad styrning.
4. Bygg in systematisk uppföljning. Riskhantering och incidentberedskap är inte engångsinsatser. Inför rutiner för regelbunden utvärdering och förbättring.

Avslutning: incidenthantering och riskdokumentation som sammanhållet arbete

NIS2 behandlar inte incidenthantering och riskdokumentation som separata projekt. Cybersäkerhetslagen förutsätter att de hänger ihop, att risker dokumenteras och följs upp, att incidenter hanteras inom fastställda tidsramar och att allt rapporteras tillbaka till styrningen.

Det är ett arbete som tar tid och kräver resurser. Men med rätt struktur, ett fungerande GRC-ramverk och en ledning som tar ansvar, är det genomförbart. Börja där ni är och bygg systematiskt vidare.

Vanliga frågor om NIS2, incidenthantering och riskdokumentation

Vilka tidsfrister gäller för incidentrapportering enligt NIS2?

En tidig varning ska lämnas till NCSC inom 24 timmar efter att en betydande incident upptäcks. En fullständig incidentanmälan ska vara inne inom 72 timmar. Dessa tidsramar kräver att organisationen har dokumenterade rutiner redo innan en incident inträffar.

Hur ofta ska riskanalysen uppdateras enligt cybersäkerhetslagen?

Cybersäkerhetslagen anger inte ett exakt intervall, men kräver att riskhanteringen är systematisk och levande. Det innebär att riskanalysen ska uppdateras vid väsentliga förändringar i verksamheten, efter incidenter och vid regelbundna intervall som organisationen själv fastställer.

Kan befintligt GDPR-arbete användas för NIS2-kraven?

Ja, flera processer som riskanalys, dokumentation och leverantörsuppföljning är gemensamma för GDPR och NIS2. Med ett GRC-perspektiv samordnar ni arbetet och bygger vidare på befintliga strukturer. Draftit samlar dessa processer i en gemensam plattform för dataskydd och informationssäkerhet.

Vad händer om ledningen inte uppfyller sitt ansvar under NIS2?

Cybersäkerhetslagen ger tillsynsmyndigheter möjlighet att vidta åtgärder och besluta om sanktionsavgifter. Ledningen kan hållas personligt ansvarig om organisationen inte har en fungerande styrning av cybersäkerhetsarbetet.

Ingår leverantörskedjor i riskdokumentationen under NIS2?

Ja, NIS2 kräver att organisationer inkluderar leverantörskedjor i sin riskanalys. Det innebär att ni behöver granska leverantörers säkerhetsrutiner, följa upp avtal och dokumentera hur risker i leveranskedjan hanteras.