Hur arbetar ett stort industriföretag i Sverige mot efterlevnad med NIS2/Cybersäkerhetslagen? En fallstudie

Sammanfattning

En ökande hotbild mot verksamheter inom kritiska sektorer som finans, vatten, energi m.m, tillsammans med en bristfällig gemensam cybersäkerhetsnivå inom EU-medlemsländer gjorde att upprustning av cybersäkerhet inom EU ansågs nödvändig. Därför togs NIS2-direktivet och cybersäkerhetslagen fram för att stötta och sätta krav på verksamheters cybersäkerhetsarbete i form av ökad systematik, dokumentation, och lämpliga säkerhetsåtgärder. Målet med studien var att se hur ett stort industriföretag i Sverige arbetade mot efterlevnad av NIS2-direktivet inom sin IT- och OT-miljö. Operationsteknologi (OT) definieras som teknologi som integrerar med den fysiska världen. Semistrukturerade intervjuer med öppna frågor och följdfrågor användes för att samla in information om företagets efterlevnadsarbete. Intervjuerna skedde med fyra anställda på företaget, två från IT- och två från OT-avdelningen. Intervjuerna transkriberades med hjälp av en transkriberingstjänst för att därefter bli tematiskt kodade. Detta gjordes för att göra den stora mängden data mer hanterlig samt hitta återkommande teman i intervjuerna. Baserat på intervjuerna genomfördes också en gapanalys över företagets OT-miljö för att definiera befintliga brister, bedöma dess allvarlighetsgrad, samt ge förslag för hur bristerna skulle kunna åtgärdas. Studien fann att många hinder och underlättande faktorer kring efterlevnadsarbetet delades av båda avdelningarna, där NIS2-direktivets och cybersäkerhetslagens oklarhet kring vad kraven betyder och den ökade arbetsbelastningen som efterlevnadsarbetet medför var stora hinder. Tidigare arbete mot andra säkerhetsdirektiv samt kontinuerlig utbildning inom cybersäkerhet var faktorer som alla medverkande framförde som underlättande faktorer i efterlevnadsarbetet.