De ti foranstaltninger fra sikkerhedspligten, i almindeligt sprog
Hvis jeres organisation falder ind under NIS2-direktivet som væsentlig eller vigtig enhed, gælder der en sikkerhedspligt: I skal træffe passende foranstaltninger for at håndtere risiciene for jeres net- og informationssystemer. Direktivet uddetaljerer dette i en række på ti typer foranstaltninger, opført i artikel 21. De er bevidst formuleret bredt, så de passer både til en installationsbedrift med tyve medarbejdere og til et energiselskab med tusinde. Hvordan ser I, at en foranstaltning er etableret? Ikke ved et flueben, men ved tre ting, der hører sammen: et konkret dokument eller en teknisk indstilling, der udfylder foranstaltningen, et navn på én, der er ansvarlig for det, og et tidspunkt for, hvornår det sidst blev kontrolleret.
De ti foranstaltninger deler sig groft i fire grupper: kende og dokumentere risici, håndtere hændelser, styre leverandørkæden, og holde mennesker og teknik i orden. Herunder går vi gennem dem – ikke som en tjekliste at krydse af, men som forklaringer på, hvad hver foranstaltning betyder i praksis.
Kende og dokumentere risici
Den første foranstaltning er en politik for risikovurdering og informationssikkerhed: et dokument, der beskriver, hvilke systemer der er vigtige, hvad der kan gå galt, og hvordan I vurderer det. Det behøver ikke være en tyk rapport, men vel noget, som en udenforstående – en tilsynsmyndighed, en køber, en ny kollega – kan læse og forstå. Direktivet nævner desuden politik og procedurer for at vurdere effektiviteten af foranstaltninger: I dokumenterer ikke blot, hvad I gør, men også hvordan I kontrollerer, at det virker. Og der er en separat foranstaltning for cyberhygiejne og træning: praktiske grundlæggende regler og medarbejdernes evne til at genkende en mistænkelig e-mail.
Håndtere hændelser
En anden gruppe handler om, hvad der sker, når det alligevel går galt. Hændelseshåndtering betyder, at der ligger en procedure for, hvem der gør hvad, når en hændelse opdages, og hvordan den anmeldes. Forretningskontinuitet – herunder backup-administration, gendannelse efter nødsituation og krisestyring – handler om, hvordan I kan fortsætte efter en nedbrud eller angreb: har I en aktuel backup, ved I, hvem der koordinerer krisen, og er det nogensinde testet. Dette er den del, hvor organisationer ofte stoler på det uden at have testet det, og netop denne test er det, en tilsynsmyndighed eller køber ønsker at se.
Styre leverandørkæden
Direktivet bruger en separat foranstaltning på sikkerhed i leverandørkæden, inklusiv relationen til individuelle leverandører. Dette er grunden til, at også ikke-pligtige små og mellemstore virksomheder modtager spørgeskemaer fra deres ordregivere: ordregiveren skal vurdere sin egen kæde for at opfylde denne foranstaltning. En relateret foranstaltning handler om sikkerhed ved indkøb, udvikling og vedligeholdelse af net- og informationssystemer, herunder håndtering af sårbarheder – altså også spørgsmålet om, hvordan software indkøbes og vedligeholdes.
Mennesker og teknik i orden
Den sidste gruppe er den mest teknisk, men ikke mindre konkret. Personalebeskyttelse, adgangskontrol og administration af virksomhedsaktiver handler om, hvem der kan få adgang til hvilke systemer, og hvad der sker, når nogen fratræder. Brugen af multifaktor-godkendelse eller lignende løsninger, og sikret tale-, video- og tekstkommunikation samt sikrede nødkommunikationssystemer, er den foranstaltning, der ligger tættest på den daglige praksis: er det stadig muligt at logge på e-mail og virksomhedssystemer med kun en adgangskode, eller er der et andet trin. Og hvor relevant er der politik og procedurer for brugen af kryptografi og, hvor relevant, kryptering.
Hvad disse ti foranstaltninger har tilfælles, er, at de alle stiller krav om tre ting: et bevis, en ejer og et kontroltidspunkt. Det er også præcis, hvordan en levende dossier er struktureret, i stedet for et øjebliksbillede, der er forældet igen efter et halvt år. Hvor strengt en foranstaltning skal udfyldes i jeres tilfælde, afhænger af størrelsen på jeres organisation og de risici, der er forbundet med jeres sektor — herom gives den gratis kontrol i nogle få spørgsmål en første indikation.
For dem, der gerne vil vide, hvordan disse ti foranstaltninger omsættes til national lovgivning og til konkrete skridt for hvert emne, er der et oversigt for hvert emne, udvalgt efter situation. Der er også præciseret, hvilken kilde der hører til hvilken forklaring, og på hvilken dato den blev konsulteret, som beskrevet på siden om hvor informationen kommer fra. For spørgsmålet om, hvad der præcis er gratis, og hvad der hører til et abonnement, er der et oversigt over hyppigt stillede spørgsmål.
Disse ti foranstaltninger er en ramme, ikke en udfyldelsesøvelse med ét rigtigt svar. Hvad der er passende for jeres organisation, afhænger af jeres sektor, størrelse og de systemer, som I afhænger af — herom giver lovteksten selv, og tilsynsmyndighedens forklaring, det sikreste svar. Hvis I først vil vide, om og hvordan denne due diligence-pligt gælder for jeres organisation, skal I starte med den gratis NIS2-kontrol eller bladre gennem vidensbanken på secria.eu.