På den här sidan
GDPR skyddar personuppgifter och de människor uppgifterna gäller. NIS2, genom cybersäkerhetslagen, skyddar nätverk och informationssystem i samhällsviktiga verksamheter. För den som omfattas av båda överlappar kraven på riskhantering, incidenter och leverantörer - men tidsfrister och mottagare skiljer sig.
Syfte och skillnader
GDPR gäller all behandling av personuppgifter, oavsett bransch och storlek. Cybersäkerhetslagen gäller bara verksamheter i vissa sektorer, i regel från medelstor storlek, men omfattar all information och alla system som tjänsterna bygger på - inte bara personuppgifter. En driftstörning utan personuppgifter kan alltså vara en NIS2-fråga men inte en GDPR-fråga, och ett felskickat mejl kan vara en GDPR-fråga men inte en NIS2-fråga.
Vem omfattas?
Alla verksamheter som omfattas av cybersäkerhetslagen omfattas i praktiken också av GDPR, eftersom de behandlar personuppgifter om anställda och kunder. Det omvända gäller inte. Börja med att avgöra om ni omfattas av cybersäkerhetslagen - GDPR behöver ni hantera oavsett.
Gör självtestetIncidentrapportering - två mottagare, olika tidsfrister
Samma händelse kan utlösa båda rapporteringskedjorna:
- GDPR: personuppgiftsincident till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar, om det inte är osannolikt att den medför risk. Vid hög risk ska även de registrerade informeras.
- Cybersäkerhetslagen: betydande incident till CERT-SE med tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad.
- Rapporteringen till den ena myndigheten ersätter inte den andra.
Riskanalys och åtgärder som kan göras en gång
Båda regelverken bygger på riskbaserade, lämpliga säkerhetsåtgärder. Samma tillgångsinventering, riskanalys, behörighetsstyrning, loggning, säkerhetskopiering och kontinuitetsplanering kan användas för båda - och registerförteckningen enligt GDPR är en bra start på inventeringen av vilken information som finns var. Det som skiljer är perspektivet: GDPR bedömer risken för de registrerade, cybersäkerhetslagen risken för verksamhetens tjänster.
Registerförteckning enligt GDPRLeverantörer och personuppgiftsbiträden
GDPR kräver personuppgiftsbiträdesavtal och att ni bara anlitar biträden som ger tillräckliga garantier. Cybersäkerhetslagen kräver säkerhet i hela leveranskedjan, även hos leverantörer som inte hanterar personuppgifter. Samla båda i samma leverantörsuppföljning: ett register, en riskklassning och samma frågor om säkerhet.
Ledningens ansvar
Under GDPR är det den personuppgiftsansvarige som organisation som bär ansvaret. Cybersäkerhetslagen går längre och pekar ut ledningen: den ska godkänna riskhanteringsåtgärderna och genomgå utbildning, och hos väsentliga verksamhetsutövare kan en person i ledningen tillfälligt förbjudas att utöva ledningsfunktion. Sanktionsavgifter finns i båda regelverken.
Ledningens ansvar enligt cybersäkerhetslagenSå samordnar ni arbetet
Ett praktiskt upplägg:
- En gemensam incidentrutin med ett beslutssteg för varje regelverk: är det en personuppgiftsincident? Är det en betydande incident?
- En gemensam riskanalys där varje risk bedöms både för de registrerade och för tjänsterna.
- Ett leverantörsregister som täcker både biträdesavtal och säkerhetskrav.
- En årlig genomgång för ledningen som omfattar båda regelverken.
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.