Högskolan i Skövde

Denna uppsats undersöker implementeringen av EU:s cybersäkerhetsdirektiv NIS2 och CER inom ett av Nordens största service management-företag. Studien ger en inblick i branschens utmaningar inom cybersäkerhet, med särskilt fokus på de nya direktiven. Inledningsvis presenteras bakgrunden till direktiven samt en översikt över cybersäkerhet i stort. Vidare diskuteras service management-företags funktion och hur branschen påverkas av NIS2 och CER. 

Genom en explorativ fallstudie ges en fördjupad förståelse av en specifik organisation, där semistrukturerade intervjuer med organisationens Chief Information Security Officer (CISO) samt en cybersäkerhets-, dataskydds- och ISO-specialist som ger insikter i implementeringsarbetet. 

Studien visar att direktiven är otydliga och att en nationell strategi behöver färdigställas. Denna brist på tydlighet har medfört förseningar i implementeringen, och många organisationer har ännu inte påbörjat arbetet i enlighet med direktiven. För den undersökta organisationen skapas utmaningar av att olika länder utvecklar egna strategier, vilket innebär att anpassningar krävs för att verka på den nordiska marknaden. Organisationen påverkas indirekt av direktiven genom sina kunder, vilka har varierande krav beroende på de tjänster som köps in. 

Utbildning av personalen identifieras som en central aspekt av implementeringen, där förändringar i utbildningarnas utformning och bedömning är nödvändiga. För att säkerställa att personalen inte enbart genomgår utbildningarna utan också utvecklar sin förståelse för cybersäkerhet, behöver mer än endast antalet genomförda utbildningar mätas.