Automatisera NIS2‑compliance i hela organisationen
Cybersäkerhetslagen (NIS2) ställer krav på hela din organisation. Hy5 ger dig strukturen och automatiseringen för att möta kraven.
Hitta cybersäkerhetsluckor innan någon annan gör det
Säkerhetskontroller samlade på ett ställe
Hy5 kartlägger säkerhetsåtgärder över avdelningar och system i ett enda compliancelager. Allt är länkat och revisionsklart. Ingen rekonstruktion, ingen gissning.
Incidenthantering kopplad till levande system
Hy5 kopplar incidenthanteringsprocedurer direkt till de kontroller och system de skyddar. När incidenter inträffar vet alla exakt vad de ska göra. Rapportering inom 24 och 72 timmar blir en strukturerad process, inte ett brandkårsutryckande.
Löpande övervakning av leverantörskedjan
Hy5 spårar cybersäkerhetsrisker hos leverantörer parallellt med era avtalsenliga skyldigheter och bedömningar. Förändringar i leverantörsstatus synliggörs omedelbart, inte efter att de redan påverkat verksamheten.
Styrelsens ansvar gjort synligt
Hy5 ger ledningen en samlad bild av cybersäkerhetsläget och compliance-status. Inga fragmenterade rapporter att sammanställa, ingen manuell analys. Styrelsen kan visa på aktiv tillsyn och fatta strategiska säkerhetsbeslut med säkerhet.
”I dag sparar vi 50% av kostnaderna när vi använder Hy5 i våra kontraktsgranskningar”
Automatiserad compliance för hela organisationen
Ett system som kopplar samman hela din organisation med era compliance-krav. Varje policy, kontrakt och kontroll har en tydlig ägare. Plattformen stödjer verksamheten med förslag och automatisering, men du behåller kontrollen. Ditt revisionsunderlag byggs av dina beslut.
Strukturerade krav för compliance-ansvariga
Hy5 översätter regelverk, interna regler och bästa praxis till tydliga, konfigurerbara processer. Krav, roller, kontroller och dokumentation definieras och spåras.
Vägledning för alla medarbetare
Det operativa lagret för strukturen ut i verksamheten. Hy5 vägleder medarbetare genom uppgifter, automatiserar återkommande kontroller och erbjuder AI-assistans vid beslut. Alla vet vad de ska göra, hur de ska göra det och om det är gjort rätt.
Omedelbar rapportering för styrelsen
Rapporteringslagret ger styrelse en tydlig bild av läget. Dashboards och rapporter underlättar intern uppföljning, och samma data kan delas med kunder, leverantörer och myndigheter vid behov.
Cybersäkerhetslagen (NIS2) ställer krav på samhällsviktig infrastruktur
Det reviderade nät- och informationssystemsdirektivet är en EU-förordning som trädde i kraft den 17 oktober 2024. Det fastställer skärpta cybersäkerhetskrav för samhällsviktiga och kritiska verksamheter inom arton sektorer.
NIS2 gäller medelstora och stora organisationer inom arton sektorer, indelade i två kategorier:
Väsentliga verksamheter (högkritiska sektorer): Energi, transport, bank, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, IKT-tjänstehantering (B2B), offentlig förvaltning samt rymden.
Viktiga verksamheter (övriga kritiska sektorer): Post- och budtjänster, avfallshantering, kemikalier, livsmedelsproduktion och -distribution, tillverkning (inklusive medicintekniska produkter, fordon och transportutrustning), digitala leverantörer (marknadsplatser, sökmotorer, sociala nätverk) samt forskning.
Den generella tröskeln är 50 eller fler anställda, eller en årsomsättning som överstiger 10 miljoner euro. Mindre organisationer kan ändå omfattas om de tillhandahåller samhällsviktiga tjänster.
NIS2 kräver att alla berörda verksamheter implementerar tio minimikrav för cybersäkerhetsriskhantering:
- Riskanalys och säkerhetspolicyer för informationssystem
- Incidenthantering – detektering, åtgärd och rapportering inom 24 och 72 timmar
- Verksamhetskontinuitet och krishantering – inklusive säkerhetskopiering och katastrofåterställning
- Säkerhet i leverantörskedjan – bedömning av cybersäkerhetsläget hos direkta leverantörer och tjänsteleverantörer
- Säkerhet i nät- och informationssystem – anskaffning, utveckling och underhåll, inklusive sårbarhetshantering
- Policyer och rutiner för att bedöma cybersäkerhetseffektivitet – regelbunden testning och revision
- Grundläggande cyberhygien och cybersäkerhetsutbildning – på alla organisatoriska nivåer
- Policyer för kryptografi och kryptering
- Personalsäkerhet, åtkomstkontroll och tillgångshantering
- Multifaktorautentisering och säkrade kommunikationssystem
Organisationer är också skyldiga att rapportera betydande incidenter till sin nationella CSIRT: en tidig varning inom 24 timmar, en detaljerad anmälan inom 72 timmar och en slutrapport inom en månad.
Du måste implementera de tio minimikraven för säkerhetsåtgärder, registrera dig hos din nationella tillsynsmyndighet och rapportera betydande incidenter inom strikta tidsramar. Ledningen är personligt ansvarig för regelefterlevnaden.
Bristande efterlevnad får allvarliga konsekvenser:
- Väsentliga verksamheter: böter upp till 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket belopp som är högst
- Viktiga verksamheter: böter upp till 7 miljoner euro eller 1,4 % av den globala årsomsättningen, beroende på vilket belopp som är högst
- Ledningsansvar: personer i ledande befattningar kan drabbas av tillfälliga förbud eller diskvalificering
- Verksamhetsinskränkningar: myndigheter kan återkalla certifieringar, tillstånd eller begränsa verksamheten
NIS2 (cybersäkerhetslagen) förflyttar cybersäkerhet från en teknisk fråga till en rättslig skyldighet på styrelsenivå.
NIS2 utvidgar avsevärt räckvidden och tillsynen jämfört med det ursprungliga direktivet från 2016:
- Bredare tillämpningsområde: från 7 till 18 sektorer, vilket beräknas omfatta över 160 000 verksamheter inom EU
- Storleksbaserade trösklar: medelstora organisationer (50+ anställda eller omsättning över 10 miljoner euro) omfattas nu
- Skärpt incidentrapportering: obligatorisk tidig varning inom 24 timmar, anmälan inom 72 timmar och slutrapport inom en månad
- Personligt ansvar: ledningsorgan är direkt ansvariga vid brister i regelefterlevnaden
- Harmoniserad tillsyn: miniminivåer för böter fastställs på EU-nivå, vilket minskar skillnader mellan medlemsstaterna
- Fokus på leverantörskedjan: organisationer måste bedöma cybersäkerhetsläget hos sina direkta leverantörer
NIS2 fastställer skyldigheter inom fyra områden:
- Cybersäkerhetsriskhantering – implementera de tio minimikraven för säkerhetsåtgärder, proportionerligt mot er riskexponering
- Incidentrapportering – anmäl betydande incidenter till nationella myndigheter inom 24 timmar (tidig varning), 72 timmar (detaljerad anmälan) och en månad (slutrapport)
- Styrning och ansvar – ledningsorgan måste godkänna cybersäkerhetsåtgärder, övervaka genomförandet och genomgå utbildning. De kan hållas personligt ansvariga vid brister.
- Tillsyn och efterlevnad – nationella myndigheter genomför revisioner och inspektioner och kan utfärda bindande förelägganden. Väsentliga verksamheter är föremål för proaktiv tillsyn; viktiga verksamheter för reaktiv tillsyn efter en incident.
Direktivet tillämpas proportionerligt. Väsentliga verksamheter möter striktare tillsyn än viktiga verksamheter, men ingen kategori är undantagen från de grundläggande skyldigheterna.
Sverige har genomfört NIS2 i nationell rätt genom cybersäkerhetslagen (2025:1506) och cybersäkerhetsförordningen (2025:1507), båda i kraft sedan den 15 januari 2026.
Centrala delar av den svenska implementeringen:
- Hela-verksamheten-ansats: skyldigheterna gäller hela organisationen, inte bara IT-avdelningen
- Decentraliserad tillsyn: Myndigheten för samhällsskydd och beredskap (MSB) ansvarar för tillsynen inom de flesta sektorer, medan Energimyndigheten ansvarar för energisektorn
- Nio säkerhetsområden: incidenthantering, verksamhetskontinuitet, leverantörskedjans säkerhet, säker utveckling, kryptografi, personalsäkerhet, åtkomstkontroll, säker kommunikation och autentisering
- Registreringskrav: berörda verksamheter måste registrera sig hos sin tillsynsmyndighet
- Ledningsutbildning: lagen ställer uttryckliga krav på ledningens deltagande i cybersäkerhetsarbetet
Kontakta en säljare
Lämna dina uppgifter så återkommer vi inom kort.