Det finns ingen fast taxa för NIS2
Det finns inget konkret belopp för "NIS2-efterlevnad", och ingen kan ge dig det med säkerhet i förväg. Direktivet föreskriver tio kategorier av åtgärder, men hur ett företag fyller i dessa och därmed vad det kostar skiljer sig mycket åt beroende på situationen. Ett installatörsföretag med ett par laptops och ett bokföringsprogram i molnet har ett annat utgångspunkt än ett företag med ett eget serverrum och flera IT-leverantörer.
Vad som faktiskt bestämmer kostnaderna är ett begränsat antal faktorer: omfattningen och komplexiteten i din IT-miljö, hur många av de begärda åtgärderna du redan har, om du lägger ut arbete på en extern part, och vilka verktyg eller programvara du anskaffar. Det gör det svårt att nämna ett belopp, men möjligt att förstå vart pengarna går.
Vad som bestämmer din egen situation
Den första kostnadsposten är ofta inte synlig på en faktura: den tid som internt behövs för att inventera vad som redan finns. Vem som måste ha åtkomst till vilka system, vilka leverantörer som har åtkomst till ditt nätverk, och hur en incident är organiserad nu. Företag som redan har denna grund i ordning, till exempel för att de tidigare har startat en ISO 27001-process, har mindre arbete än företag som börjar från noll.
Den andra faktorn är valet mellan att göra det själv och att lägga ut det på kontrakt. Vissa åtgärder, såsom en policy för åtkomstkontroll eller en procedur för incidentrapportering, handlar främst om dokumentation och avtal. Andra åtgärder, såsom kryptering av data eller övervakning av nätverkstrafik, kräver snarare teknik och därmed programvara eller en extern leverantör. Hur mycket av det senare som behövs beror på vad som redan finns.
Den tredje faktorn är frågan om du anlitar ett rådgivningsföretag för hela processen eller bara för delar av den. Fullständig vägledning kostar mer än riktad hjälp vid specifika punkter, men sparar intern tid. Vilket val som är mer fördelaktigt skiljer sig åt mellan företag och är inte en fråga som kan besvaras på ett allmänt sätt. Om du först vill se vilka delar som är relevanta för ditt eget företag kan du själv kontrollera detta med ett par korta frågor.
Kostnader som ofta glöms bort
Utöver de direkta kostnaderna för åtgärder och rådgivning finns det kostnader som bara blir synliga senare. Dokumentation såsom en riskanalys eller en översikt över åtkomsträttigheter har ofta en giltighetstid och måste uppdateras regelbundet. Det är inte en engångskostnad utan en återkommande uppgift, och den tid som det tar räknas in i den totala bilden.
Därtill skickar mottagare i allt högre grad checklistor om cybersäkerhet, och varje mottagare använder sitt eget format och portal. Det upprenade ifyllandet av i stort sett samma information tar tid som lätt underskattas. En översikt över vilka ämnen som återkommer här finns utarbetad per situation i kunskapsbasen.
Vad supplia gör och inte gör i denna process
Supplia.eu bygger ingen certifiering och ger ingen bedömning av din säkerhetsnivå; det förblir din, din rådgivares och den behörig tillsynsmyndighetens ansvar. Det som plattformen gör är att hjälpa till så att de svar som du redan har dokumenterat konsekvent återkommer i de checklistor som dina kunder skickar till dig. Det sparar ingen pengar på de underliggande åtgärderna, men väl på den tid som det tar att dokumentera och leverera dem på nytt varje gång.
Grundinformationen om NIS2 och de andra begrepp som återkommer i checklistor är fritt tillgänglig, inklusive källan i den officiella texten. Vad ett abonnemang lägger till är detaljering per skyldighet med tillhörande tidsfrister och mallar, och ett meddelande så snart något ändras som påverkar din situation. Skillnaderna mellan gratis och betalat visas tydligt på prissida.
Hur du kommer fram till en realistisk uppskattning
Eftersom beloppet beror på din egen utgångssituation är det mest användbara första steget inte att söka efter en genomsnittlig taxa, utan att fastställa var du står nu. Först därefter är en diskussion med en IT-leverantör, rådgivningsbyrå eller tillsynsmyndigheten meningsfull, för de kan bara säga något om kostnader när det är känt vad som redan finns och vad som saknas. För frågor som specifikt rör ditt företag är en jurist eller specialiserad rådgivningsbyrå fortfarande rätt kontaktpunkt; denna artikel beskriver den allmänna linjen, ingen rådgivning för en individuell situation.
Vill du först se vilka komponenter som är relevanta för ditt företag innan du börjar jämföra kostnader? Gör den kostnadsfria snabbscanningen eller bläddra igenom ämnena i kunskapsbanken för att se var du står.