Från IT-fråga till verksamhetsfråga: En kvalitativ studie av svenska verksamheters utmaningar och strategier vid implementeringen av NIS2-direktivet

Sammanfattning

Instroduktion: Studien undersöker hur informationssäkerhetsarbetet för svenska verksamheter påverkas av NIS2-implementeringen i ett tidigt implementeringsskede med fokus på de organisatoriska utmaningarna samt de strategier som tillämpas. Problemet som ligger till grund är de osäkerheter som uppstår när verksamheter ska integrera skärpta lagkrav utan tillgång till vägledning, tidigare tillsynsärenden, föreskrifter eller etablerad praxis. Osäkerheterna understryker vikten av att identifiera de strategier som tillämpas för att hantera de organisatoriska utmaningar som implementeringen medför. Forskningsfråga: Vilka organisatoriska utmaningar identifieras vid implementeringen av NIS2 i svenska verksamheter och vilka strategier tillämpas för att hantera dessa? Metod: Studien tillämpade en kvalitativ fallstudiestrategi. Datainsamlingen genomfördes genom semistrukturerade intervjuer via videomöte på Zoom med fem deltagare med roller som informationssäkerhetsspecialister, säkerhetschefer, CIO:er samt cybersäkerhetskonsulter inom både privat och statlig sektor. Därefter analyserades det insamlade materialet genom en tematisk analys. Resultat: Analysen identifierade fyra huvudteman där resultaten visar att organisationer upplever osäkerhet kring hur NIS2 ska tolkas och tillämpas, samtidigt som ledningsengagemang, säkerhetsmognad och arbetssätt varierar mellan verksamheter. Det framkommer att etablerade ramverk, nätverkssamverkan, riskbaserad prioritering och verksamhetsanpassade säkerhetsstrategier används för att hantera utmaningarna. Resultat: Fynden tyder på att NIS2 innebär ett organisatoriskt skifte där cybersäkerhet i större utsträckning behöver integreras i verksamhetsstyrning och ledningsarbete istället för att hanteras som en isolerad ITfråga. Studien visar även att formell efterlevnad inte automatiskt leder till ökad operativ säkerhet samt att organisationernas förutsättningar påverkas av säkerhetsmognad, resurser och tidigare erfarenheter av säkerhetsarbete.