”VAD MENAR DEN HÄR LAGEN?” En studie om meningsskapande och cybersäkerhetslagens inverkan på berörda organisationer

Abstract

Implementeringen av EU:s NIS2 direktiv genom den nya cybersäkerhetslagen ställer striktare krav på samhällsviktiga organisationer. Då föreskrifter från myndigheter saknas befinner sig många organisationer i en osäker fas där de själva måste tolka hur deras verksamhet ska anpassas. Syftet med denna studie är att undersöka hur personer som arbetar med informationssäkerhet förhåller sig till den nya cybersäkerhetslagen och skapar mening kring de förändringar och krav som lagen medför. För att analysera denna tolkningsprocess används sensemakingteorin. Datainsamlingen skedde genom nio semistrukturerade intervjuer med personer som arbetar med informationssäkerhet i deras roll. Resultatet visar att cybersäkerhetslagen fungerar som en yrkesmässig hävstång. Eftersom lagen håller ledningen personligt ansvariga tvingas de prioritera regelefterlevnad, vilket i sin tur stärker informationssäkerhetsrollernas mandat internt. Slutsatsen är tudelad, å ena sidan systematiseras säkerhetsarbetet, å andra sidan riskeras lagens implementering att reduceras till en administrativ börda som fokuserar på pappersarbete snarare än ett förstärkt operationellt skydd. Studiens resultat synliggör vidare de ojämlika förutsättningarna för de mindre organisationerna som ofta saknar de interna resurser som krävs för att effektivt kunna tolka lagen och implementera det komplexa regelverket.