NIS 2 – Mot en mer motståndskraftig offentlig sektor

Från krisberedskap till kontinuerlig riskstyrning

Effektiv styrning och tillförlitliga samhällstjänster står högt på den offentliga sektorns agenda. Men den snabba digitala utvecklingen, ökade säkerhetskrav och komplexa leverantörskedjor gör arbetet allt mer sårbart. Samtidigt finns möjligheterna. En offentlig sektor som inte bara reagerar på risker, utan förutser och hanterar dem i tid, är fullt möjlig att bygga.

Den här artikeln handlar om hur förvaltningar, kommuner och myndigheter kan utveckla sin motståndskraft genom strukturerad riskstyrning, smart användning av data och tydligt ledningsengagemang. Allt i linje med NIS 2 och den nya cybersäkerhetslagen.

Det krävs ett skifte i tänkandet

I många organisationer betraktas riskhantering fortfarande som ett krav snarare än ett verktyg. Arbetet hamnar lätt i dokument och processer som inte används i det dagliga beslutsfattandet.

Men ett motståndskraftigt samhälle kräver något mer. Det kräver att vi ser risk som en strategisk tillgång, inte som en administrativ börda. När riskbedömningar vävs in i styrning, planering och prioritering skapas en helt annan handlingsförmåga och ett starkare ledarskap.

“Ett robust och motståndskraftigt samhälle förutsätter att alla sektorer tar ett större ansvar för informationssäkerheten.”
(Prop. 2025/26:28, s. 35)

Tre nivåer av riskstyrning

Offentlig sektor befinner sig i olika faser av mognad när det gäller riskstyrning.

På den reaktiva nivån agerar organisationen först när något redan har hänt. Risker dokumenteras men används sällan som beslutsunderlag.
På den kontrollerade nivån finns processer på plats, ofta inom IT eller kvalitet, men de är isolerade och ger ingen helhetsbild.
På den integrerade nivån används riskdata som grund för beslut, resurser och prioriteringar. Här är risk inte en separat disciplin utan en del av styrningen.

Vägen dit handlar inte om fler regler utan om att skapa bättre samband mellan data, ansvar och beslut.

Bygg styrningen från beslut till beteende

Motståndskraft byggs inte i policydokument utan i vardagens beslut. För att lyckas krävs processer som binder samman verksamhet, säkerhet och styrning. Ledningen behöver äga frågan om risk och säkerhet. Verksamheten behöver enkla verktyg för att förstå och rapportera risker. Och uppföljningen behöver vara en naturlig del av året, inte en engångsinsats.

När dessa delar samverkar kan ledningen börja styra på risk i stället för att bara reagera på händelser. Det är den skillnaden som avgör hur väl organisationen står emot störningar och hur snabbt den återhämtar sig.

Data gör riskstyrning praktisk

I offentlig sektor finns redan mängder av risk- och säkerhetsdata i upphandlingar, projektstyrning och incidentrapporter. Problemet är att informationen ligger utspridd och därför sällan används som beslutsstöd.

Genom att samla och strukturera data går det att skapa en gemensam riskbild. Det ger möjlighet att se trender, upptäcka svagheter och agera innan riskerna växer till problem.

“Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem mot incidenter.”
(Prop. 2025/26:28, s. 244–245)

Det citatet påminner oss om att säkerhetsarbete inte är något som blir klart. Det handlar om att kontinuerligt förbättra och förvalta det skydd som redan finns.

Fyra steg som gör skillnad

För det första behöver frågan om risk och säkerhet ha en självklar plats på ledningsnivå. Ägarskap skapar fokus.
För det andra bör riskdata samlas i ett gemensamt system som ger en samlad bild av läget, oavsett om risken finns i IT, verksamheten eller leverantörskedjan.
För det tredje bör riskbedömningar vägas in i styrningen. När riskdata används i budgetprocesser, upphandlingar och prioriteringar blir besluten både snabbare och bättre.
För det fjärde krävs kontinuitet. Riskstyrning är inget projekt, det är en rytm.

Små steg i rätt riktning kan snabbt höja både tryggheten och förtroendet.

Motståndskraft som framtidsstrategi

Digitalisering och säkerhet går inte längre att skilja åt. Motståndskraft handlar om förmågan att fortsätta leverera samhällsnytta oavsett yttre påverkan.

Det är här NIS 2 blir ett verktyg snarare än en börda. Det ger ramar för hur styrning, ansvar och förbättring kan närma sig varandra. Den motståndskraftiga organisationen leder inte med regler, utan med insikt.

Läs också:
► Ledningens genomgång som driver affärsresultat – inte bara compliance
För att förstå hur ledningen kan följa upp, styra och skapa rätt förutsättningar för att hantera de större riskbilderna i organisationen.