Kort sagt: EU-direktivet NIS2 förpliktar betydligt fler företag än tidigare till riskhanteringsåtgärder och till att rapportera betydande säkerhetsincidenter. I Tyskland genomförs det genom NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG, tysk lag); behörig myndighet är BSI (den tyska förbundsmyndigheten för informationssäkerhet). För webbservrar betyder det framför allt: uppdateringar, sårbarhetshantering och incidenthantering måste vara organiserade och kunna styrkas. Den här sidan är allmän information, ingen juridisk rådgivning.
Ingen juridisk rådgivning: om ert företag omfattas av NIS2 och vilka skyldigheter som i detalj gäller klarar ni ut med hjälp av BSI:s uppgifter och juridisk rådgivning. Vi anger medvetet inga tröskelvärden eller frister som beror på hur ni klassificeras.
Vad NIS2 är
NIS2 är EU:s andra direktiv om nät- och informationssäkerhet. Det utvidgar kretsen av förpliktade företag avsevärt jämfört med den tidigare regleringen och skiljer mellan särskilt viktiga och viktiga verksamheter. Vilka branscher och storleksklasser som omfattas fastställs i lagen.
I Tyskland genomför NIS2UmsuCG direktivet och omarbetar bland annat BSI-lagen (tysk lag). BSI är kontaktpunkt för registrering, rapportering och tillsyn och tillhandahåller på sin webbplats information och hjälp för bedömningen. Tillförlitliga, aktuella uppgifter om frister och förfaranden hittar ni där, inte i allmänna sammanfattningar.
NIS2-kraven för företag i överblick
För berörda företag kan skyldigheterna grovt delas in i tre områden:
Riskhantering. Företag måste vidta lämpliga och proportionerliga tekniska och organisatoriska åtgärder. Dit hör typiskt koncept för riskanalys och informationssäkerhet, hantering av säkerhetsincidenter, upprätthållande av verksamheten med säkerhetskopior och krishantering, säkerhet i leveranskedjan, säkerhet vid upphandling, utveckling och underhåll inklusive hantering av sårbarheter, åtkomstkontroll och kryptografi.
Rapportering. Betydande säkerhetsincidenter ska rapporteras till BSI. Direktivet föreskriver ett stegvis förfarande för det, från en tidig första rapport till en slutrapport. De exakta fristerna och rapporteringsvägarna för Tyskland hämtar ni från BSI:s uppgifter.
Ledningens ansvar. Ledningen måste godkänna åtgärderna, övervaka genomförandet och låta sig utbildas i frågor om cybersäkerhet. Mer om det under Ledningens ansvar.
Vad det betyder för webbservrar
Webbservrar är ofta det mest öppna systemet i ett företag. PHP2Shell visar hur snabbt en sårbarhet i en grundkomponent kan beröra alla applikationer som körs på den. De två sårbarheterna CVE-2026-109618 och CVE-2026-109619 möjliggör kodkörning utan inloggning; BSI har utlyst varningsnivå 3 (orange) och rekommenderat en omedelbar uppdatering.
För ett NIS2-pliktigt företag ger det praktiska frågor: Vet vi vilka servrar som använder PHP och i vilken version? Vem följer säkerhetsmeddelanden och beslutar om akuta uppdateringar? Kan vi upptäcka ett angrepp, och vem bedömer om en incident är betydande och därmed rapporteringspliktig? Är det reglerat vad webbhotell och tjänsteleverantörer tar över?
En patch tar inte bort skadlig programvara som fördes in tidigare och bevisar inte att ingenting har hänt. Även det hör till incidentbedömningen.
Konkreta åtgärder för webbinfrastrukturen
Följande punkter är ingen uttömmande lista men täcker de vanligaste luckorna:
| Åtgärd | Koppling |
|---|---|
| Förteckning över alla webbservrar, PHP-versioner och applikationer | Riskanalys |
| Fast förfarande för säkerhetsuppdateringar inkl. omstart och belägg | Sårbarhetshantering |
| Övervakning och lagring av loggar | Incidenthantering |
| Testade säkerhetskopior och återstartsplan | Verksamhetskontinuitet |
| Skriftlig arbetsfördelning med webbhotell och byråer | Leveranskedja |
| Flerfaktorsinloggning för administratörsåtkomst | Åtkomstkontroll |
| Förberedda rapporteringsvägar och ansvar | Rapporteringsplikt |
Som metodiskt ramverk passar BSI:s IT-Grundschutz. En IT-beredskapsplan för webbservrar förenar teknik, ansvar och rapporteringsvägar.
Se NIS2 och dataskydd i ett sammanhang
Ett angrepp mot en webbserver kan samtidigt vara en NIS2-incident och en personuppgiftsincident. Då löper två förfaranden parallellt, med olika myndigheter och krav. Anmälan till dataskyddstillsynen enligt art. 33 GDPR beskrivs i GDPR-anmälningsplikt: 72 timmar. Planera båda vägarna i förväg, så att ingen behöver improvisera i skarpt läge.
En ytterligare punkt gäller tjänsteleverantörer. Många företag låter byråer sköta webbplatser och webbhotell driva servrar. Skyldigheten att beakta riskerna i leveranskedjan betyder i praktiken: reglera avtalsenligt vem som installerar säkerhetsuppdateringar, hur snabbt kritiska sårbarheter hanteras, hur ni informeras om incidenter och vilka belägg ni får. Läget kring PHP2Shell är ett bra prov på om de här reglerna redan finns och fungerade i skarpt läge. Saknas ett svar är det en punkt för er riskhantering.
Hur hjälper PHP SOS konkret?
- Vi kartlägger er webbinfrastruktur och bedömer risker och luckor i en form som ni kan använda för er riskhantering.
- Vi inför ett verifierbart förfarande för säkerhetsuppdateringar och tar på begäran över det via ett säkerhetsunderhållsavtal.
- Med säkerhetsövervakning och lagring av loggar skapar vi grunden för att upptäcka och bedöma incidenter.
- Vid en incident levererar vi de tekniska fakta för er rapportering till BSI; den juridiska bedömningen ligger kvar hos er och er juridiska rådgivning.
Vanliga frågor
Berörs mitt företag av NIS2?
Det beror bland annat på bransch och företagsstorlek. De exakta kriterierna följer av den tyska genomförandelagen. BSI tillhandahåller på sin webbplats information om vilka som berörs; vid osäkerhet klarar ni ut frågan med juridisk rådgivning.
Vad betyder NIS2 för ett företags webbplats?
Webbservrar, kundportaler och butiker hör till de system vars risker ett berört företag måste styra. Dit hör uppdateringar, sårbarhetshantering, åtkomstkontroll och förmågan att upptäcka och rapportera incidenter.
Vilka rapporteringsfrister gäller enligt NIS2?
Direktivet föreskriver ett stegvis rapporteringsförfarande för betydande säkerhetsincidenter. De bindande fristerna, vägarna och formulären för Tyskland hämtar ni från BSI:s uppgifter och lagtexten. Vi anger här medvetet inga frister utan koppling till er situation.
Gäller NIS2 även för underleverantörer?
NIS2 kräver att berörda verksamheter även beaktar säkerheten i sin leveranskedja. Därför frågar många kunder sina tjänsteleverantörer och underleverantörer om säkerhetsåtgärder, även om dessa själva inte direkt omfattas av lagen.