NIS2-gapanalys: så tar du reda på var ni faktiskt står

Kort sagt: En NIS2-gapanalys jämför ert nuvarande säkerhetsläge mot kraven i NIS2-direktivet och cybersäkerhetslagen (2025:1506), och visar exakt vad som saknas. Den täcker artikel 21 (riskhantering), artikel 23 (incidentrapportering), säkerhet i leverantörskedjan och ansvaret för styrelse och ledning. Resultatet är en prioriterad lista över brister, inte åsikter utan konkreta gap med ägare, tidsfrist och risknivå. Utan den kan ni inte planera. Med den har ni en karta.

Vad är en NIS2-gapanalys?

En NIS2-gapanalys är en strukturerad jämförelse mellan det ni har idag och det cybersäkerhetslagen kräver. Den är inte samma sak som en mognadsbedömning. En mognadsbedömning mäter hur väl era befintliga kontroller fungerar. En gapanalys svarar på en enklare fråga: vad saknas helt och hållet?

Analysen täcker fyra områden som speglar NIS2-direktivet:

• Styrning och ansvar: styrelsens engagemang, dokumenterat beslutsfattande, utbildning
• Riskhantering: riskregister, åtgärdsplaner, återkommande granskning
• Incidenthantering: detektering, respons och rapportering inom 24 och 72 timmar
• Leverantörskedjan: due diligence, avtal, uppföljning av tredje part

För varje krav ställs tre frågor: Har vi det? Fungerar det? Kan vi bevisa det?

Varför räcker inte en checklista?

En checklista säger ja eller nej. En gapanalys säger varför, hur mycket och vad ni ska göra åt det. Skillnaden spelar roll när en revisor ber om underlag.

En gapanalys ger tre saker en checklista inte kan:

1. Risknivå per brist: alla gap är inte lika allvarliga, och prioritering kräver klassificering
2. Ägare och tidsfrist: varje gap får en namngiven ägare och ett datum
3. Spårbarhet över tid: ni kan visa att ni arbetar med bristerna, vilket väger tungt vid tillsyn

Revisorer och tillsynsmyndigheter är mindre intresserade av om ni är perfekta och mer intresserade av om ni vet var ni står och har en plan. Gapanalysen är dokumentet som bevisar bådadera.

Hur genomför ni en NIS2-gapanalys i praktiken?

En NIS2-gapanalys löper i fyra steg i en bestämd ordning. Att hoppa över steg ett är den vanligaste orsaken till att en analys blir oanvändbar.

Steg 1: Sätt omfattningen. Vilka system, processer och verksamhetsdelar ingår? Är ni en väsentlig eller viktig entitet under cybersäkerhetslagen? Utan en tydlig omfattning blir resultatet otydligt.

Steg 2: Samla in bevis, inte åsikter. Policyer, protokoll, utbildningsregister, incidentloggar, riskregister. Det som inte är dokumenterat räknas inte, inte under cybersäkerhetslagen.

Steg 3: Jämför mot artikel 21 och artikel 23. Varje krav får en status: uppfyllt, delvis uppfyllt eller saknas. Var vaksam på ”delvis uppfyllt”. Det är här verksamheter får en falsk trygghet.

Steg 4: Prioritera och fördela ägarskap. Kritiska gap först, sedan hög risk, sedan medel. Varje punkt får en namngiven ägare och ett slutdatum. Utan tilldelat ägarskap blir genomförandet svårt.

En manuell gapanalys med externa konsulter tar normalt fyra till åtta veckor. En AI-driven självskattning ger en första version inom några timmar.

→ Starta en AI-driven bedömning här

Vad gör ni om gapanalysen visar stora brister?

Om en gapanalys visar många gap, ingen panik. Det här är inte en slutdom utan en startpunkt. Verksamheter som möter tillsyn med en dokumenterad gapanalys och en aktiv åtgärdsplan klarar sig nästan alltid bättre än de som inte har någonting, även när de tekniskt sett ligger längre efter. Gapanalysen är också ett bevis på rimlig aktsamhet, och utan den har ledningen inget försvar om en incident inträffar.

Det som väger tungt hos tillsynsmyndigheten är tre saker: att ni vet vad som saknas, att ni har en plan för att åtgärda det, och att planen rör sig framåt. En verksamhet på mognadsnivå 2 med uppåtgående trend står starkare än en på nivå 3 som står stilla.

Det största misstaget är att vänta tills analysen är ”färdig” innan arbetet börjar. Gapanalysen är ett levande dokument som bör uppdateras minst varje kvartal.

Vad detta betyder

En NIS2-gapanalys är inte ett projekt. Den är en spegel. Den visar var ni står, inte var ni trodde att ni stod, och skillnaden mellan de två är oftast större än vad ledningen vill medge. Utan en gapanalys är åtgärdsarbetet gissningar. Med den har ni en prioriterad lista, en ägare per punkt och ett språk som revisorn förstår. Den första versionen behöver inte vara perfekt. Den behöver bara bli till.

Vanliga frågor

Vad är skillnaden mellan en gapanalys och en mognadsbedömning?

En gapanalys svarar på ”har vi det som krävs?”. En mognadsbedömning svarar på ”hur väl fungerar det vi har?”. Gapanalysen är binär per krav. Mognadsbedömningen poängsätter på en skala från 1 till 5. NIS2 efterfrågar båda, gapanalysen för att hitta hålen och mognadsbedömningen för att mäta förbättring över tid.

Kan vi göra en gapanalys själva eller behöver vi konsulter?

Ni kan börja på egen hand, och ofta är det den bättre vägen. En intern gapanalys med ett strukturerat verktyg ger en första bild på några timmar och kostar ingenting. Externa konsulter behövs när omfattningen är komplex, när ni behöver oberoende validering, eller inför en formell revision.

Hur ofta bör en gapanalys göras?

Minst en gång per kvartal om ni är i aktivt åtgärdsarbete, och minst en gång per år när ni har nått en baslinje. Lagstiftning, hotbild och er egen verksamhet förändras, och en gapanalys från förra året stämmer sällan idag.

Räknas vår ISO 27001-certifiering som en gapanalys?

Nej. ISO 27001 täcker stora delar av NIS2-kraven men inte alla. Incidentrapportering inom 24 och 72 timmar, krav på leverantörskedjan enligt artikel 21 och personligt ansvar för ledningen är områden där en kompletterande gapanalys alltid behövs.