Norden och Ukraina delar erfarenheter för stärkt motståndskraft av samhällsviktig verksamhet
För att öka motståndskraften i samhällsviktig verksamhet inom hela EU genomförs CER- och NIS2-direktiven. Under ett heldagsseminarium samlades tjänstemän från Norden och Ukraina för att utbyta erfarenheter om införandet av direktiven.
Hur ger de nordiska länderna och Ukraina stöd till privata och offentliga organisationer så de kan motstå, ställa om och leverera varor och tjänster i alla lägen? Genom att dela lärdomar, erfarenheter och goda exempel stärker de nordiska länderna varandra. Seminariet, som arrangerades av Myndigheten för civilt försvar tillsammans med Ukraina, kretsade kring utmaningar, lösningar och vägval utifrån erfarenheter kring implementeringen av direktiven.
Dyrköpta erfarenheter ger viktiga perspektiv
Myndigheten för civilt försvar har sedan 2024 i uppdrag att samverka med the State Service of Special Communications and Information Protection of Ukraine (SSSCIP). Inom ramen för uppdraget ingår att stötta Ukraina i EU-närmandet. Att implementera direktiven är ett steg i det arbetet samtidigt som det ger en direkt effekt i form av ökat motståndskraft. Ukrainas dyrköpta erfarenheter från verkligheten bidrar också till utvecklingen i norden.
– Att skydda samhällsviktig verksamhet som ska säkerställa de viktigaste samhällsfunktionerna i alla lägen är något som Ukraina arbetar med kontinuerligt. De kan dela med sig av erfarenenheter och strategier från verkligheten i Ukraina som ger de nordiska länderna perspektiv och avgörande kunskap inom området, sägerCecilia Lagerdahl, projektledare vid Myndigheten för civilt försvar.
Kateryna Vorobei från SSSCIP berättade om utmaningen med att göra risk- och hotbedömningar samtidigt som kriget pågår, att ställa om från perspektivet att skydda samhällsviktig verksamhet till det mer förebyggande och systematiska arbetet som direktiven kräver.
– Det pågående kriget skapar en konstant föränderlig hotmiljö, vilket gör det svårt att prioritera det mer långsiktiga och systematiska arbetet. Till skillnad från naturkatastrofer behöver vi ta höjd för att angriparen vill göra maximal skada, tänker strategisk timing och vill ha skada i flera led – naturkatastrofer ökar inte attacker på energiinfrastruktur för att vintern kommer, säger Kateryna Vorobei
Kartläggning ökar motståndskraften
I början av den fullskaliga invasionen fanns inte tid för planering. Krigets verklighet innebar att organisationer endast hann reagera och anpassa sig. Men nu sker en justering av inställningen och Ukraina präglas av ett mer proaktivt och innovativt tänkande trots pågående krig.
En aspekt som tidigt blev tydlig var hur viktigt det är med kartläggning och förståelse för beroenden. En god kartläggning visade sig vara en nyckel för god motståndskraft.
– Genom att kartlägga vad som är kritiskt, vilka hot som finns och vilka sårbarheter vi känner till så har vi ökat vår motståndskraft. Känner vi till sårbarheterna och hoten, är det enklare att skapa relevanta övningar och stresstester som hanterar sårbarheterna, säger Kateryna Vorobei.
För Norden är nu kriget dimensionerande
De nordiska länderna lyfte flera aspekter som visar på att kriget nu är den dimensionerande hotbilden för arbetet att skydda samhällsviktig verksamhet. I Norge är det tydligt på flera olika sätt.
– Innan den fullskaliga invasionen av Ukraina använde vi inte ordet krig i vårt språkbruk inom dessa frågor. Det innebär att Norge, som traditionellt är ett väldigt öppet samhälle, nu även omvärderar hur mycket information och data som ska vara öppen, säger Knut Torget från norska Direktoratet for samfunnssikkerhet og beredskap (DSB).
I Danmark sker också en utveckling med anledning av kriget i Ukraina. En av de tydligare skillnaderna är att man har inrättat ett nytt departement. Ministeret for samfundssikkerhed og beredskab som skapades för att stärka samhällsviktiga- och beredskapsfrågor från åtta olika departement. De har i motsats till Sverige samlat både beredskapsfrågor och informations- och cybersäkerhetsfrågor inom ett departement.
– Detta är bland annat ett resultat av den danska hanteringen av Covid19-pandemin, klimatrelaterade händelser som drabbar Danmark samt en förvärrad hotbild, säger Malte Lund Rasmussen från danska Styrelsen for Samfundssikkerhed.
Fakta om CER-direktivet
CER-direktivet är ett EU-direktiv som fokuserar på hela organisationens motståndskraft. Det omfattar alla typer av risker, fysiska, personalrelaterade och organisatoriska. Direktivets krav är att arbeta med risk- och kontinuitetshantering, fysisk säkerhet och personalsäkerhet. Direktivet omfattar identifierade privata och offentliga organisationer som levererar varor och tjänster och säkerställer våra viktigaste samhällsfunktioner och därmed säkerställer att vårt civila försvar har den motståndskraft som krävs. Direktivet omfattar och ställer krav på sammanlagt 11 sektorer, exempelvis energi, transport, hälso- och sjukvård, vatten, livsmedel och digital infrastruktur.
CER-direktivet ska vara genomfört av medlemsstaterna sedan oktober 2024. Det är ett omfattande arbete som många medlemsstater arbetar intensivt med. Sverige har uppfyllt kraven att anta en nationell strategi för motståndskraft i samhällsviktig verksamhet och genomfört en nationell riskbedömning. Svensk reglering är under införande.
Nationell strategi för motståndskraft i samhällsviktig verksamhet 2026-2030.
Fakta om NIS2-direktivet
NIS2-direktivet är ett EU-direktiv som fokuserar på informations- och cybersäkerhet. NIS2-direktivet gäller fler aktörer än tidigare NIS-direktiv. Fokus är på cybersäkerhet och digitala resurser, t.ex. skydd mot cyberattacker, incidenthantering och leverantörskedjor.
NIS2-direktivet gäller sedan oktober 2024. Sedan januari 2026 ersattes den gamla NIS-lagen (2018:1507) med den uppdaterade cybersäkerhetslagen (2025:1506) med tillhörande förordning. Lagen reglerar krav på cybersäkerhet med utgångspunkt från riskhantering och lyfter särskilt vikten av incidenthantering.