Så uppfyller ditt företag utbildningskravet i NIS2

NIS2 är i kraft. I Österrike gäller genomförandelagstiftningen sedan den 1 oktober 2026. Frågan är alltså inte längre om kraven kommer, utan om din organisation redan uppfyller dem. Ett krav underskattas gång på gång: skyldigheten att regelbundet utbilda både medarbetare och ledning i cybersäkerhet. Den här artikeln går igenom vilka som omfattas av NIS2, vad direktivet faktiskt säger om utbildning och var du bör börja.

Vilka omfattas av NIS2?

NIS2 skiljer på två grupper: ”väsentliga” och ”viktiga” verksamheter. Till de väsentliga hör bland annat energi, transport, bankväsende, hälso- och sjukvård, dricksvatten och digital infrastruktur. Som viktiga verksamheter räknas till exempel post- och budtjänster, avfallshantering, kemikalier, livsmedel, tillverkning och vissa digitala tjänster. Båda grupperna har i stort sett samma skyldigheter. Skillnaderna gäller framför allt tillsyn och sanktioner.

Som regel omfattas medelstora och stora företag i dessa sektorer, grovt räknat från 50 anställda eller mer än tio miljoner euro i årsomsättning. Vissa verksamheter omfattas oavsett storlek. Och även organisationer som formellt står utanför märker ofta av NIS2 via leveranskedjan: företag som omfattas måste bedöma sina leverantörers säkerhet och för kraven vidare i avtal.

Vad artikel 20 och 21 innebär för utbildning

Två delar av direktivet gör awareness-utbildning bindande:

• Artikel 20 (styrning): Ledningsorganen ska godkänna åtgärderna för hantering av cybersäkerhetsrisker och övervaka att de genomförs. De är dessutom skyldiga att själva genomgå utbildning och förväntas regelbundet erbjuda motsvarande utbildning till sina medarbetare.
• Artikel 21 (riskhantering): Katalogen över minimiåtgärder nämner uttryckligen grundläggande cyberhygien och utbildning i cybersäkerhet, i nivå med områden som backuphantering, åtkomstkontroll och säkerhet i leveranskedjan.

Awareness-utbildning är därmed inte längre något frivilligt, utan en del av det åtgärdspaket lagen kräver. En engångsgenomgång vid anställningen uppfyller uppenbart inte kravet på ”regelbundet”: det som avses är ett löpande program som når hela personalstyrkan och vars genomförande går att styrka.

Ledningens ansvar: noggrannhet i stället för panik

Artikel 20 anger att ledningsorgan kan hållas ansvariga för överträdelser av riskhanteringsskyldigheterna. Hur ansvaret ser ut i det enskilda fallet avgörs av nationell rätt och omständigheterna. Den här artikeln är uttryckligen inte juridisk rådgivning. För en bedömning av din konkreta situation bör du vända dig till en jurist.

En sak går dock att slå fast: utbildningskravet är en av de få punkter där NIS2 riktar sig till ledningen personligen. En organisation som kan visa att ledningen deltagit och att det finns ett dokumenterat program för personalen står betydligt starkare än en utan underlag.

Konkreta första steg

1. Klargör om ni omfattas: Kontrollera sektor och företagsstorlek, och ta reda på om kunder i reglerade branscher för krav vidare till er.
2. Gör en nulägesanalys: Vilka utbildningar har genomförts hittills, vilka deltog och vad finns dokumenterat? Luckorna brukar bli synliga snabbt.
3. Bygg upp ett återkommande program: Kombinera e-learningkurser med regelbundna phishing-simuleringar, så blir regelefterlevnad en mätbar säkerhetsvinst.
4. Involvera ledningen: Planera in ledningens deltagande från början. Det krävs uttryckligen.
5. Säkra underlagen: Deltagande, avslutade kurser och simuleringsresultat bör dokumenteras ordentligt, så att ni kan svara både myndigheter och kunder.

Börja nu i stället för att åtgärda i efterhand

NIS2 är gällande rätt, och utbildningskravet går att uppfylla med rimlig insats om du börjar strukturerat. Vår NIS2-översikt visar hur Protectly stöttar organisationer hela vägen, från färdiga awareness-kurser till rapportering av deltagande. Eller titta på plattformen direkt och boka en demo, förutsättningslöst och anpassad efter din bransch.