Hvad en client af ICT-tjenesterne kræver efter NIS2
En klient, der selv er underlagt NIS2-pligten til cybersikkerhed, skal godtgøre, at han også styrer risiciene i sin leverandørkæde. Leverer du fjernkontrol, hosting, applikationsstyring eller helpdesk til en sådan klient, vil det fremgå af kontrakten: krav om hvem der har adgang til systemer, hvordan sådan adgang protokolleres, og om du indsætter underleverandører uden at meddele det på forhånd.
Kravene varierer fra klient til klient og fra sektor til sektor, men en række emner dukker op næsten altid: adgangskontrol, protokollering af administrationstiltag, meddelsesterminer ved et incident på din side, og indsigt i hvem der ellers er involveret i arbejdet. Sidstnævnte — underleverandører — er for mange ICT-tjenesteudbyrdere det emne, som spørgeskemaet bruger længst tid på.
Hvorfor dette nu står i kontrakten
NIS2-direktivet forpligter virksomheder, der er underlagt reglen, i artikel 21 til også at vurdere sikkerheden hos deres leverandører og tjenesteudbyrdere. En klient, der selv er revisionspligtig, kan ikke godtgøre dette med mundtlige løfter; han har brug for en skriftlig aftale, som han kan vise sin egen tilsynsmyndighed. For dig som ICT-tjenesteudbyrer betyder det: det samme spørgsmål kommer tilbage, men nu fastsat i et tillæg eller bilag til kontrakten i stedet for i en løs e-mail.
Det er et skift i form, ikke nødvendigvis i indhold. Meget af det, der spørges om, gjorde du som administrator sandsynligvis allerede. Det nye er, at du skal kunne demonstrere det, med en dato og navn.
Adgang til kundesystemer: hvad der præcist spørges om
Klienter forlanger i stigende grad en oversigt over hvem der har adgang hos dem, med hvilke rettigheder, og hvordan adgangen trækkes tilbage, når nogen forlader teamet. Multifaktor-autentificering til administratoradgang er nu et hyppigt krav, ligesom en log, der registrerer hvornår og af hvem et system er tilgået. Nogle kontrakter kræver desuden et fast kontaktpunkt hos dig, så klienten ikke afhænger af hvem der har vagt den pågældende uge.
Klientens underliggende spørgsmål er altid det samme: kan han, hvis noget går galt, fastslå hvem der havde adgang hvor og hvornår. Det er også grunden til, at generiske svar som "vi arbejder efter best practices" sjældent er tilstrækkelige — der spørges om et konkret bevis, ikke om en hensigt.
Fjernkontrol: særlig opmærksomhed på autentificering og protokollering
Fjernkontrol får i mange spørgeskemaer et særskilt afsnit, netop fordi en angriber, der kommer ind der, på et enkelt trin kan nå flere kunder. Spørgsmål handler derefter om kryptering af forbindelsen, om adgang til fjernkontrol er adskilt fra dit firmas normale netværk, og hvor hurtigt du kan lukke en session, hvis du mistænker misbrug. Her gælder også: det handler ikke om en vurdering af, hvor god din sikkerhed er, men om du kan demonstrere det.
Når nogen får den slags spørgsmål for første gang, oplever de det ofte som en engangshandling for én klient. I praksis kan det bevis, du indsamler for én klient, med små tilpasninger også bruges til den næste. læs gennem emnerne efter situation giver et billede af, hvilke spørgsmål der dukker op ved hvilken type tjenesteyden.
Underleverandører: risikoen, som du ikke helt har kontrol over
Den sværeste del for mange ikt-tjenesteudbydere er ikke deres egen sikkerhed, men sikkerheden hos de parter, de inddrager: en hostingुdbyder, en monitoreringtjeneste, en freelance-specialist. En ordregiver, der selv har sikkerhedspligt, ønsker at vide, om du bruger underleverandører, hvem de er, og om de opfylder tilsvarende krav. Nogle kontrakter forpligter dig til at melde ændringer i denne forsyningskæde på forhånd, eller til at videregive de samme sikkerhedskrav kontraktmæssigt til dine egne leverandører.
Det er ikke altid let for en lille ikt-virksomhed at ordne, især ikke når underleverandøren selv ikke ved, hvorfor spørgsmålet pludselig bliver stillet. Et første skridt er en simpel oversigt: hvem gør hvad for dig, og hvilken aftale har du dokumenteret herom. Uden denne oversigt bliver hver ny spørgeskema igen nystartsarbejde.
Hvad du kan og ikke kan tilsige
Det er klogt kun at medtage tilsigelser i en kontrakt, som du også kan underbygge. En ordregiver, der spørger om responstider ved en begivenhed, en 24/7-tjeneste eller en garanti for, at der aldrig sker fejl, anmoder i praksis om et løfte, som få ikt-tjenesteudbydere kan opfylde uden at etablere en særskilt, dyr tjeneste til det formål. Det er op til dig og, hvor nødvendigt, en jurist at vurdere, hvilke klausuler der er rimelige, og hvilke der går længere end det, som ordregiverens sikkerhedspligt faktisk kræver.
Om din egen organisation desuden direkte falder under NIS2-sikkerhedspligten — som væsentlig eller vigtig enhed eller via forsyningskædesamarbejdet — kan ses med et par spørgsmål. Denne skelnen afgør, om du kun forbereder svar til dine kunder, eller om du selv også skal føre og vedligeholde en dokumentation.
Kom i gang
For ordregiveren tæller til sidst ikke din hensigt, men om svaret på hans spørgsmål foreligger, når han spørger. Når du først for hver foranstaltning har dokumenteret en status, et bevisstykke og en ansvarlig, behøver du ikke at søge igen ved næste spørgeskema. Se hvad dokumentationen og spørgeskemaerne koster hvis du ønsker at håndtere denne forberedelse strukturelt, eller læs først de hyppigt stillede spørgsmål om, hvordan platforme fungerer.
Start uden forpligtelse med den gratis NIS2-kontrol for at se, om din organisation selv har pligt, er påvirket af forsyningskæden, eller ingen af delene — og læs videre i videnbanken om de emner, der spiller ind for din sektor.