Organisationers användning av ISO/IEC 27001 mot uppfyllande av NIS 2: En kvalitativ studie av organisatoriska erfarenheter, fördelar och kvarstående gap mellan ramverk och lag

Sammanfattning

Informationssäkerhet inom organisationer hanteras vanligtvis genom etablerade standarder och ledningssystem, där ISO/IEC 27001 utgör ett centalt ramverk för ett riskbaserat säkerhetsarbete. Med införandet av NIS 2 har cybersäkerhet fått en tydligare rättslig förankring med bindande krav på styrning, ansvarsfördelning, incidentrapportering och efterlevnad. Problemet som ligger till grund för studien är att det fortfarande är oklart i vilken utsträckning ISO/IEC 27001 stödjer organisationers arbete med att uppfylla kraven i NIS 2-direktivet. Studien avser att besvara frågeställningen: Hur kan ett etablerat ledningssystem för informationssäkerhet enligt ISO/IEC 27001 användas för att uppfylla kraven i NIS 2-direktivet, och vilka kompletterande åtgärder krävs för full regelefterlevnad? Studien har en kvalitativ ansats med strategiskt urval av experter som arbetar med informationssäkerhet inom organisationer som arbetar med ISO/IEC 27001 och övergången till NIS 2 och bygger på fem semistrukturerade intervjuer med informationssäkerhetsansvariga. Materialet analyserades med tematisk analys för att identifiera återkommande mönster. Resultaten visar att ISO/IEC 27001 utgör en stabil grund för att uppfylla flera av kraven i NIS 2, särskilt inom riskhantering, styrning och dokumentation. Samtidigt visar resultaten att NIS 2 är mer konkret och handlingsorienterat, med tydligare krav som påverkar styrning och ansvarsfördelning. Cybersäkerhet framträder även i högre grad som en strategisk ledningsfråga, och arbetet med leverantörs- och tredjepartsrisker kräver mer systematiska processer. ISO/IEC 27001 fungerar som en viktig grund för NIS 2, men är inte tillräcklig i sig. Ytterligare åtgärder krävs för att uppfylla direktivets mer specifika krav, och organisationer befinner sig fortsatt i en övergångsfas präglad av osäkerhet och behov av tydligare vägledning.