En hændelse i installationsbranchen er ikke altid en hacket bærbar computer. Det er lige så ofte en montør, der logger ind med en forkert konto på kundens bygningsstyringsystem, en nøgleskab, der ikke er låst ordentligt, eller en planlægger, der klikker på et phishing-link, hvorefter en kundekode bliver eksponeret. Det du dokumenterer, er i kernen det samme for hver af disse situationer: hvornår det blev opdaget, hvad der præcist skete, hvem der var involveret, hvilken adgang der var på spil, hvilken handling der blev foretaget, og hvem der blev informeret.
Denne dokumentering er noget andet end at rapportere til en tilsynsmyndighed. Et internt hændelsesregister er en løbende logbog, som du selv vedligeholder, uanset om en hændelse er indberetningspligtig. For organisationer, der selv falder ind under NIS2-direktivet, hører dette register til due diligence-pligten i artikel 21. For den meget større gruppe installatørbedrifter, der ikke selv er pligtig, men bliver evalueret som leverandør, er registeret ofte præcis det, som en sikkerhedsspørgeskema fra en kunde spørger om: kan du vise, at du genkender hændelser, dokumenterer dem og følger op på dem? Uanset om du selv falder under loven eller kun bliver påvirket gennem forsyningskæden, kan du kontrollere din position ved at stille et par spørgsmål, der viser din position i forsyningskæden.
Hvad skal der være i registeret
Et brugbart hændelsesregister indeholder pr. begivenhed en dato og tidspunkt for opdagelsen, en kort beskrivelse af hvad der blev observeret eller rapporteret, og navnet på den, der bemærkede eller rapporterede det. Derudover noterer du, hvilket system, hvilken lokation eller hvilken kunde der blev påvirket, og hvilken adgang der spillede en rolle: en delt adgangskode, en fysisk nøgle, et adgangskort, en VPN-forbindelse til kundens netværk. Dernæst dokumenterer du, hvilken handling der blev foretaget, hvem der var ansvarlig, og om og hvornår kunden eller din egen organisation blev informeret. Endelig en bemærkning om lukningen: er hændelsen løst, og er noget blevet ændret som følge heraf.
Denne sidste bemærkning bliver ofte udeladt, selvom tilsynsmyndigheder og kunder netop ser efter det. Et register, der kun tæller rapporter, siger ikke meget. Et register, hvor man kan se, at et tilbagevendende problem har ført til en ændring i arbejdsgangen, viser, at organisationen lærer af det.
Monteringspersonalets særlige situation på stedet
Det, der adskiller installationsbranchen fra for eksempel et softwarefirma, er, at adgang sjældent kun er digital. En montør, der skal til en kunde, har ofte både en fysisk nøgle eller kort og en digital konto til bygningsstyringsystemet, alarmen eller klimaanlægget. En hændelse kan således opstå, fordi en nøgle går tabt, fordi en tidligere medarbejders konto ikke er tilbagekaldt, eller fordi en bærbar computer med gemte loginoplysninger bliver stjålet fra en bil. I registeret betyder denne forskel ikke så meget: det drejer sig altid om det samme spørgsmål, nemlig hvem der havde adgang på hvilket tidspunkt, og om det stadig var berettiget.
Dette rammer direkte på adgangskontrol: hvem må få adgang til hvilke systemer og nøgler, og er dette overblik aktuelt. Et hændelsesregister uden et løbende adgangsoverblik er vanskeligt at få fuldstændigt, fordi du så skal finde ud af hver gang, hvem der måtte være hvor. Et løbende overblik over foranstaltninger, statusser og ejere, sådan som et cyberdossier vedligeholder det, gør denne efterforskning unødvendig.
Ikke enhver hændelse kræver samme behandling
Væsentlighed spiller også en rolle her: en mistet adgangskodebillet, der straks bliver opdaget og ændret, vejer anderledes end uautoriseret adgang til et kundesystem, der først kommer for dagen efter uger. Direktivet og den nationale lovgivning skelner mellem alvorlige hændelser og mindre problemer, og tilsynsmyndighederne ser på virkningen på tjenesteyderingen og på kunden. En fast del af jeres egen vurdering er derfor også: påvirker denne hændelse kun jeres egen forretningsdrift, eller også systemerne eller dataene hos en kunde. I sidstnævnte tilfælde ligger en forpligtelse til at informere denne kunde tæt op ad håndfladen, uafhængigt af spørgsmålet om, hvorvidt der gælder en lovpligtig meldepligt.
De præcise tidsfrister og grænseværdier, der gælder her, varierer alt efter situation og det land, hvor I er aktive. For den præcise tekst og kildestedet henviser vi til de officielle kilder, og for jeres egen situation til en jurist eller den kompetente tilsynsmyndighed. Et overblik over, hvordan vi holder styr på kilder, og hvor de kommer fra, findes på siden hvor vores arbejdsmetode forklares.
Hvor dette fører til i praksis
En installatørvirksomhed, der kan vise, hvordan den registrerer og følger op på hændelser, giver en byggherre noget konkret i hænderne, når denne skal besvare en cybersikkerhedsspørgeskema, og har selv et opslagsværk til det øjeblik, hvor det igen går galt. Hvis I endnu ikke har et fast skema for dette register, finder I et udgangspunkt og den tilhørende forklaring på oversigten over emner pr. situation, og ofte stillede spørgsmål om, hvad der skal og ikke skal stå i sådan et register, er samlet på siden med svar på tilbagevendende spørgsmål.
Begynd gerne med den gratis hurtigoversigt: I kan på få spørgsmål se, om jeres organisation selv er omfattet af loven, bliver påvirket via leverandørkæden, eller ingen af delene, med en forklaring til hvert resultat.