Kunnskapsbank

Hva krever NIS2 av organisasjonen din?

Forklart for den som møter dette for første gang. Alle forkortelser blir forklart der de brukes.

• Omfattes mitt selskap av NIS2? — To ting bestemmer det: sektoren din og størrelsen din. Men det er en tredje gruppe som faller utenfor og får kravene likevel.
• Kunden din sender en sikkerhetsspørreskjema — hva nå? — Du faller ikke inn under det selv, men du får kravene likevel. Hvorfor det skjer, og hva et godt svar er.
• Omsorgsplikten: ti tiltakene fra artikkel 21 — Hva som konkret forventes av deg, per tiltak — og hvordan du ser at det er ordnet.
• Meldeplikten: 24 timer, 72 timer og en måned — Tre tidspunkter, og ingen av dem er meldeplikten innen 24 timer som vanligvis blir nevnt.
• Cybersikkerhetsloven: hva som gjelder i Nederland — Den nederlandske gjennomføringen av NIS2, og hvorfor det ikke er noen innfasingsperiode.
• NIS2 og ISO 27001: hva er forskjellen? — Standarden hjelper, men dekker det ikke. Hvor de overlapper og hvor ikke.

De ti tiltakene fra omsorgsplikt

Artikkel 21, annet ledd av direktivet lister dem opp fra a til og med j. Dette er hva et dossier består av, og hva et sikkerhetsspørreskjema fra kunden din bygger på.

1. Risikoanalyse og informasjonssikkerhetspolicy (under a)
   En dokumentert vurdering av hva som kan gå galt, og policyen som svarer på det. Dette er grunnlaget som de ni andre hviler på.
2. Incidenthåndtering (under b)
   Hvordan du merker at noe går galt, hvem som gjør hva når det skjer, og hvordan du dokumenterer det. Også spørsmålet om hvem som bestemmer om det skal meldes.
3. Forretningskontinuitet og krisehåndtering (under c)
   Sikkerhetskopier, gjenoppretting etter et avbrudd, og hva som skjer hvis hovedsystemet ditt er nede i en uke. Inkludert gjenoppretting som er testet, ikke bare beskrevet.
4. Sikkerhet i leverandørkjeden (under d)
   Sikkerheten hos leverandørene dine og tjenesteleverandørene, for så vidt det påvirker dine egne systemer. Dette er bestemmelsen som gjør at dine egne kunder sender deg et spørreskjema.
5. Sikkerhet ved innkjøp, utvikling og vedlikehold (under e)
   Hvordan du tar sikkerhet med når du kjøper eller bygger systemer, og hvordan sårbarheter håndteres så snart de blir kjent.
6. Vurdering av effektiviteten (under f)
   Måle om det du har ordnet også fungerer. Uten dette blir en liste over tiltak bare en intensjon.
7. Grunnleggende hygiene og bevisstgjøring (under g)
   Oppdateringer, passordpolicy, rettigheter som ikke er bredere enn nødvendig — og mennesker som vet hva de skal se etter. Opplæringen henger på dette.
8. Kryptografi og kryptering (under h)
   Når data blir kryptert, underveis og i lagring, og med hvilke avtaler.
9. Personellsikkerhet, tilgangskontroll og administrasjon av bedriftsmidler (sub i)
   Hvem som får hva, hva som skjer når noen slutter, og hvilke apparater og systemer som faktisk finnes.
10. Multifaktor-autentisering og sikker kommunikasjon (sub j)
    Tofaktorautentisering der det har betydning, og sikker tale-, video- og tekstkommunikasjon. Også nødkommunikasjon hvis de vanlige kanalene svikter.

Når må du rapportere?

Tre tidspunkter, og ingen av dem er "meldeplikten innen 24 timer" som det ofte refereres til. Dette gjelder bare hvis du selv faller inn under loven.

Fristene løper fra det tidspunktet du blir klar over hendelsen. Vi forbereder tekstene; innsending gjør du selv, via portalen til din egen tilsynsmyndighet.