Flera händelser förra veckan bekräftar en tydlig förskjutning: cyberhoten blir mer operativa, mer regelstyrda – och mer direkt kopplade till ledningens ansvar.

Ett exempel är den pågående vågen av leverantörs- och mjukvarurelaterade attacker. Enligt flera branschrapporter har en omfattande supply chain‑attack nyligen komprometterat tusentals kodbaser på GitHub genom automatiserad manipulation av CI/CD‑flöden – med spridning på bara timmar. Det visar hur snabbt tillit i utvecklingskedjor kan utnyttjas. [cybersecur…tynews.com]

Samtidigt har EU formellt förlängt sitt sanktionsramverk mot cyberangrepp och tydliggjort att aktörer ska hållas ansvariga för attacker mot medlemsstater. Det här är inte symbolik – det är en del av ett växande verktyg för att koppla cybersäkerhet till geopolitik och affärsrisk. [consilium.europa.eu]

Parallellt går NIS2 nu in i faktisk tillsyn. I flera EU‑länder har övergången från förberedelse till granskning inletts, med möjliga sanktionsnivåer upp till 10 miljoner euro eller 2 % av omsättningen – och i vissa fall personligt ansvar för ledning. [securitytoday.de]

För mig pekar det här på en ny normalbild: cyberrisk är inte längre ett tekniskt problem, utan en styrningsfråga med regulatoriska och geopolitiska konsekvenser.

Det här betyder för ledning och styrelse: • Riskbilden flyttar från intrång till beroenden i leverantörsled och mjukvara
• Regelverk som NIS2 förändrar ansvar – från IT till bolagsledning
• Sanktioner och geopolitik påverkar vilka leverantörer och samarbeten som är acceptabla

Vad många underskattar
Den största risken är inte en enskild attack, utan att organisationen saknar förmåga att bevisa kontroll – vilket i sig kan utlösa sanktioner.

Tre saker att göra nu
• Säkerställ att ledning och styrelse förstår sitt ansvar enligt NIS2 och kan visa dokumenterad uppföljning
• Kartlägg kritiska beroenden i leverantörs- och utvecklingskedjor, inklusive CI/CD och open source
• Inför verifierbar kontroll av identiteter och behörigheter i utvecklings- och driftmiljöer

Källor
Cyber Security News – Supply chain attack impacting GitHub repositories
https://cybersecuritynews.com/

Council of the EU – Sanctions against cyber-attacks
https://www.consilium.europa.eu/en/policies/sanctions-against-cyber-attacks/timeline-sanctions-cyber-attacks/

Security Today – NIS2 Enforcement Wave 2026
https://www.securitytoday.de/en/2026/05/03/nis2-enforcement-welle-q2-2026-erste-eu-verfahren-laufen-was/