NIS2-krav på nätverk: Vad företag konkret behöver implementera

Medan många organisationer fokuserar sin NIS2-compliance på organisatoriska åtgärder underskattas ett kritiskt område konsekvent: nätverksinfrastrukturen. Det är just denna som utgör den tekniska grunden för att implementera säkerhet och uppnå compliance.

Varför nätverk är centrala för NIS2

NIS2 kräver bland annat: riskhanteringsåtgärder, åtkomstkontroller, incidentdetektering och systemhärdning. Inget av detta är möjligt utan en välstrukturerad nätverksarkitektur. Ett osegmenterat eller historiskt uppbyggt nätverk gör compliance i praktiken omöjlig.

Centrala krav på nätverksinfrastrukturen

1. Nätverkssegmentering

Flata nätverk är en av de största riskerna. Vad som krävs:

• Separation av produktions-, kontors- och hanteringsnätverk
• Isolering av kritiska system
• Tydliga kommunikationsregler mellan segment

Utan segmentering blir varje kompromiss automatiskt en full-nätverksincident. En strukturerad nätverkssäkerhetsbedömning visar var segmenteringsluckor faktiskt finns i praktiken.

2. Åtkomstkontroll och minsta privilegium

NIS2 kräver kontrollerad åtkomst. På nätverksnivå innebär det:

• Restriktiva brandväggsregler
• Ingen any-to-any-kommunikation
• Åtkomst enbart till nödvändiga system

I praktiken misslyckas många organisationer just här: brandväggsregler har vuxit under år, dokumentation är knapphändig och ingen vet längre varför vissa portar är öppna.

3. Övervakning och loggning

Nätverk måste bli synliga. Minimikrav:

• Centraliserad logginsamling (brandväggar, switchar, VPN)
• Anomalidetektering
• Spårbara anslutningar

Utan loggning kan ingen incident bevisas — och därmed ingen compliance. NIS2 kräver inte bara skydd utan också spårbarhet vid en incident.

4. Säker fjärråtkomst (VPN)

Fjärråtkomst är en kritisk attackvektor. Krav:

• Stark autentisering (t.ex. MFA)
• Ren nätverksseparation för VPN-användare
• Ingen direkt integration i det interna nätverket

Många VPN-implementationer ger användarna generell åtkomst till hela det interna nätverket efter lyckad autentisering — vilket direkt strider mot principen om minsta privilegium.

5. Dokumentation och spårbarhet

En ofta undervärderad punkt: NIS2 kräver inte bara säkerhet utan också bevisbarhet. Konkret behövs:

• Aktuella nätverksdiagram
• Dokumenterade dataflöden
• Tydligt definierade säkerhetszoner

Saknad eller inaktuell dokumentation är ett omedelbart revisionsfynd — oavsett om infrastrukturen i sig är tekniskt välskött.

Typiska svagheter i praktiken

I verkliga miljöer ser man konsekvent samma mönster:

• Uppväxta nätverk utan struktur — utvecklade under år utan konsekvent planering
• Oklara brandväggsregler — ingen vet längre vad som gäller för vad
• Saknad segmentering — produktionssystem i samma segment som kontors-PC
• Ingen centraliserad synlighet — loggar finns i silos eller inte alls

Dessa problem hindrar compliance — oavsett verktyg, budget eller organisatoriska åtgärder. De kan bara lösas genom strukturerad arkitekturöversyn, inte policydokument.

Slutsats

NIS2 är inte enbart en styrningsfråga. Implementeringen avgörs i nätverksinfrastrukturen: arkitektur, segmentering, åtkomstkontroll. Organisationer som inte är ordentligt rustade här kommer inte att uppfylla kraven — oavsett policyer eller dokumentation.