NIS2-direktivet skärper kraven på DNS och kritisk infrastruktur

Medan EU:s medlemsländer fortfarande arbetar med sina nationella implementeringar av NIS2-direktivet, är det viktigt för organisationer att börja förbereda sig för dess konsekvenser. Direktivet syftar till att harmonisera och stärka cybersäkerheten för digitala tjänster och kritisk infrastruktur inom hela unionen.

NIS2 utökar och förtydligar kraven jämfört med det tidigare NIS-direktivet, och specificerar vilka organisationer som omfattas samt vilka säkerhetsåtgärder som krävs. För domännamnssystemet, DNS, innebär direktivet ett krav på en gemensam säkerhetsnivå för att säkerställa en robust infrastruktur i hela EU. NIS2 godkändes i december 2022 och blir lag i medlemsländerna från och med 18 oktober 2024.

Direktivet påverkar en rad sektorer som bedöms vara avgörande för samhällets funktion, inklusive elektronisk kommunikation, energi, finans, sjukvård och transporter. Organisationer inom dessa områden måste säkerställa redundant DNS-infrastruktur, skydd mot DNS-attacker, webbapplikationsbrandväggar och pålitlig routing.

Följderna av bristande efterlevnad kan bli betydande, med böter upp till 10 miljoner euro eller 2 procent av årsomsättningen. Organisationer måste granska sina leverantörskedjor och säkerställa att även deras tjänsteleverantörer uppfyller NIS2-kraven. Det rekommenderas starkt att anlita leverantörer inom EU, helst lokala sådana, som kan erbjuda avtal och support på det lokala språket.

Generellt krävs en säkerhetsnivå motsvarande ISO 27000-certifiering. Europeiska unionens cybersäkerhetsbyrå (ENISA) och nationella myndigheter som MSB i Sverige tillhandahåller vägledning för implementeringen.