Videnbase

Hvad kræver NIS2 af jeres organisation?

Forklaret for dem, der møder det for første gang. Hver forkortelse bliver forklaret, hvor den står.

• Falder mit firma under NIS2? — To ting afgør det: jeres sektor og jeres størrelse. Men der er en tredje gruppe, der falder uden for og får kravene alligevel.
• Jeres kunde sender en sikkerhedsspørgeskema — hvad nu? — I falder ikke selv ind under det, men I får kravene alligevel. Hvorfor det sker, og hvad et godt svar er.
• Pligten: de ti foranstaltninger fra artikel 21 — Hvad der konkret forventes af jer, pr. foranstaltning — og hvordan I ser, at det er ordnet.
• Meldepligten: 24 timer, 72 timer og en måned — Tre tidspunkter, og ingen af dem er den indberetningspligt inden for 24 timer, som der normalt refereres til.
• Cybersikkerhedsloven: hvad der gælder i Danmark — Den danske gennemførelse af NIS2, og hvorfor der ikke er en indkøringsfrist.
• NIS2 og ISO 27001: hvad er forskellen? — Normen hjælper, men dækker det ikke. Hvor de overlapper, og hvor de ikke gør.

De ti foranstaltninger fra pligten til omsorg

Artikel 21, stk. 2 i direktivet viser dem som a til og med j. Dette er, hvad et dossier består af, og hvad en sikkerhedsspørgeskema fra jeres kunde er baseret på.

1. Risikovurdering og informationssikkerhedspolitik (punkt a)
   En fastlagt vurdering af, hvad der kan gå galt, og den politik, der reagerer på det. Dette er grundlaget, som de ni andre hviler på.
2. Hændelseshåndtering (punkt b)
   Hvordan I opdager, at noget går galt, hvem der så gør hvad, og hvordan I dokumenterer det. Også spørgsmålet om, hvem der beslutter, om det skal indberettes.
3. Forretningskontinuitet og krisestyring (punkt c)
   Sikkerhedskopier, gendannelse efter nedbrud, og hvad der sker, hvis jeres vigtigste system ligger nede i en uge. Inklusive at genoprettelsen er testet, ikke bare beskrevet.
4. Sikkerhed i forsyningskæden (punkt d)
   Sikkerhed hos jeres leverandører og tjenesteudbydere, for så vidt det påvirker jeres egne systemer. Dette er bestemmelsen, der gør, at jeres egne kunder sender jer en spørgeskema.
5. Sikkerhed ved indkøb, udvikling og vedligeholdelse (punkt e)
   Hvordan I medtager sikkerhed, når I køber eller bygger systemer, og hvordan sårbarheder håndteres, så snart de bliver kendt.
6. Vurdering af effektivitet (punkt f)
   Måling af, om det, I har ordnet, også virker. Uden det forbliver en foranstaltningsliste en intention.
7. Basishygiejne og bevidsthed (punkt g)
   Opdateringer, adgangskodelolitik, rettigheder, der ikke er bredere end nødvendigt — og mennesker, der ved, hvad de skal være opmærksomme på. Træning knytter sig her.
8. Kryptografi og kryptering (punkt h)
   Hvornår data krypteres, under transport og i lagring, og med hvilke aftaler.
9. Personalesikkerhed, adgangskontrol og administration af virksomhedsmidler (sub i)
   Hvem der må være hvor, hvad der sker når nogen forlader virksomheden, og hvilke enheder og systemer der faktisk findes.
10. Multifaktorgodkendelse og sikker kommunikation (sub j)
    Totrinsgodkendelse hvor det betyder noget, og sikker tale-, video- og tekstkommunikation. Også nødkommunikation hvis de almindelige kanaler går ned.

Hvornår skal du melde?

Tre tidspunkter, og ingen af dem er "meldepligten inden 24 timer" som der ofte refereres til. Dette gælder kun hvis du selv falder under loven.

Tidsfristen løber fra det øjeblik du bliver klar over hændelsen. Vi forbereder teksterne; du indgiver selv ved dit eget tilsyns portal.