NIS2
Så hjälper XoT dig med kraven i NIS2
NIS2 är EU:s direktiv om cybersäkerhet. Det räknar upp tio områden där verksamheter måste vidta åtgärder. Här går vi igenom alla tio och visar var XoT hjälper till.
Lagen i Sverige
Cybersäkerhetslagen gäller sedan januari 2026
I Sverige gäller NIS2 genom cybersäkerhetslagen. Lagen trädde i kraft den 15 januari 2026. Myndigheten för civilt försvar samordnar arbetet. Varje sektor har också en eller flera egna tillsynsmyndigheter.
Om lagen gäller din verksamhet beror på sektor och storlek. Den bedömningen gör vi inte åt dig.
Genomgången
De tio punkterna i artikel 21.2
Tabellen visar de tio områden som direktivet räknar upp i artikel 21.2. Den sista kolumnen visar om XoT hjälper till.
| Punkt | Område | XoT |
|---|---|---|
| a | Riskanalys och säkerhet i informationssystem | Nej |
| b | Hantering av incidenter | Nej |
| c | Kontinuitet, säkerhetskopiering och krishantering | Nej |
| d | Säkerhet i leverantörskedjan | Delvis |
| e | Säkerhet vid inköp, utveckling och underhåll, inklusive hantering av sårbarheter | Delvis |
| f | Rutiner för att bedöma om åtgärderna fungerar | Nej |
| g | Grundläggande cyberhygien och utbildning | Nej |
| h | Kryptografi och kryptering | Delvis |
| i | Personalsäkerhet, åtkomstkontroll och förvaltning av tillgångar | Delvis |
| j | Flerfaktorsinloggning eller kontinuerlig autentisering, säker kommunikation | Delvis |
XoT hjälper till med en del av kraven i fem av de tio punkterna. De andra fem handlar om arbete i organisationen som ingen produkt kan göra åt dig.
Punkterna där XoT hjälper till
Fem punkter där XoT hjälper till med en del
h – kryptografi och kryptering
XoT krypterar trafiken till utrustningen med WireGuard. Punkten handlar också om rutiner för hur ditt företag använder kryptering. Sådana rutiner måste du ta fram själv.
Punkt h blandas ofta ihop med punkt j. Kryptering är punkt h. Flerfaktorsinloggning och kontinuerlig autentisering är punkt j.
i – åtkomstkontroll
Varje behörighet gäller en viss användare, viss utrustning och en viss tid. XoT har inga delade inloggningar och inga egna lösenord. Punkten handlar också om personalsäkerhet och om förvaltning av tillgångar. Där hjälper XoT inte till.
j – kontinuerlig autentisering
Punkten nämner flerfaktorsinloggning, där användaren visar minst två olika slags bevis på vem hen är. Den nämner också kontinuerlig autentisering, där identiteten kontrolleras under hela anslutningen.
I XoT kontrollerar användaren och låset varandra två gånger i minuten så länge förbindelsen är öppen. XoT kan dessutom kräva flerfaktorsinloggning via din identitetstjänst. Punkten handlar också om säker kommunikation med röst, video och text. Där hjälper XoT inte till.
d – leverantörskedjan
Punkten handlar om säkerheten i relationen till leverantörer. XoT begränsar vad en leverantör kommer åt. Avtal, uppföljning och granskning av leverantörer är fortfarande ditt företags arbete.
e – hantering av sårbarheter
XoT tar inte bort sårbarheter i utrustningen. Men låset stoppar all trafik till utrustningen från den som saknar behörighet. Det kallas en kompenserande åtgärd, eftersom den minskar risken utan att ta bort sårbarheten. Beskriv skyddet så i din dokumentation.
Spårbarhet
Loggen visar att åtkomsten var kontrollerad
Det räcker inte att åtkomsten är kontrollerad. Du måste också kunna visa det i efterhand.
Med Remote Access loggas varje anslutning. Loggen visar vem som anslöt, till vad, varifrån, när och hur länge. Du kan skicka loggen vidare till ett SIEM-system, som samlar loggar från hela verksamheten.
Sanktioner
Sanktionsavgifter enligt direktivet
Direktivet delar in verksamheterna i två grupper: väsentliga och viktiga entiteter. I den svenska lagen kallas de väsentliga och viktiga verksamhetsutövare.
Artikel 34 i direktivet anger hur höga sanktionsavgifterna ska kunna bli. För väsentliga entiteter ska den högsta avgiften vara minst 10 miljoner euro eller 2 procent av den globala årsomsättningen. Det högre beloppet gäller. För viktiga entiteter är motsvarande nivåer 7 miljoner euro och 1,4 procent.
Det här är direktivets nivåer. Hur de tillämpas i Sverige bestäms av lagen och av tillsynsmyndigheterna.
Vanliga frågor
Följer vi NIS2 om vi använder XoT?
Nej, inte enbart genom XoT. XoT hjälper till med en del av kraven i fem av de tio punkterna i artikel 21.2. Resten är arbete i organisationen.
Kan vi använda XoT för utrustning som inte går att uppdatera?
Ja. Låset stoppar trafik till utrustningen från alla som saknar behörighet. Skriv i dokumentationen att sårbarheterna finns kvar men att obehöriga inte kan nå dem.
Hjälper ni till med dokumentationen?
Vi beskriver exakt vad XoT gör. Ni gör själva bedömningen av om ert företag följer lagen, gärna tillsammans med en jurist eller revisor.
Gäller NIS2 vår verksamhet?
Det beror på sektor och storlek. Den bedömningen gör vi inte åt dig.
Det vi skriver här är vår tolkning av direktivet. Det är inte juridisk rådgivning.
Be om underlag
Vi berättar gärna hur XoT kan beskrivas i din dokumentation för NIS2.