En incidentregistrering i metall- och tillverkningsindustrin beskriver minst fyra saker: vad som hände, vilka system som påverkades, vem som gjorde något åt det och när situationen återigen var under kontroll. Det låter enkelt, men i en produktionsmiljö kommer ett extra lager: förutom kontorsautomation drivs här även styrsystem för maskiner, CNC-utrustning och produktionslinjer som ofta sitter på samma nätverk som kontorens IT.
Den som omfattas av NIS2-skyldigheten att vidta åtgärder eller som tillfrågats av en uppdragsgivare att kunna påvisa hur incidenter hanteras, kan inte nöja sig med en fristående Excel-fil som bara följer IT-störningar. Ett produktionsstopp på grund av en krypterad server, ett styrsystem som inte längre svarar, eller en leverantör som loggar in på distans på en maskin och oavsiktligt öppnar åtkomst: det är alla händelser som hör hemma i samma registrering, även om orsaken inte omedelbar är klar.
Varför detta är mer än en biljett i helpdesk
Incidentregistrering är en av de åtgärder som följer från NIS2-riktlinjens skyldighet att vidta åtgärder för organisationer som själva är kritiska eller viktiga. För företag som påverkas via en uppdragsgivare är det numera också bara en fråga i frågeformuläret: hur dokumenterar ni vad som hände, och kan ni visa det. En översikt över hur denna åtgärd förhåller sig till de andra skyldigheterna från skyldigheten att vidta åtgärder finns i översikten över alla ämnen, med ett kort svar per tema och platsen i den officiella texten.
Skillnaden mellan ett företag som har detta i ordning och ett företag som inte gör det sällan ligger i tekniken. Det ligger i vanan att skriva ned något så snart det händer, i stället för att rekonstruera i efterhand vad exakt som hände.
Produktionssystem kräver en annan syn
En kontorsincident är relativt överblickbar: en bärbar dator, en postlåda, en delad enhet. I metall- och tillverkningsindustrin körs produktionssystem ofta under flera år utan att någon längre bryr sig om dem, med åtkomst för maskinleverantören, en underhållspart eller en teknisk tjänsteleverantör som övervakar på distans. Det gör skillnaden mellan en störning och ett bevakningsincident ibland svår att göra vid själva tillfället: står en linje stilla på grund av slitage, på grund av en felaktig uppdatering, eller för att någon obehörig har kommit in.
Just därför är det användbart att ha ett separat fält i registreringen för systemtyp: kontorsautomation, ett produktionssystem som är anslutet till företagsnätverket, eller ett system som hanteras på distans av en tredje part. Den här klassificeringen hjälper inte bara vid senare analys, utan också vid besvarandet av den fråga som en uppdragsgivare ofta ställer: hur är er produktionsmiljö avskärmad från er kontors-IT.
Vad måste minst finnas i registreringen
En användbar registrering beskriver det ögonblick då incidenten märktes och av vem, en kort beskrivning av vad som observerades, vilka system eller produktionslinjer som faktiskt påverkades, vilka åtgärder som vidtogs för att begränsa skadan, och det ögonblick då normalsituationen återställdes. Det innehåller också en kort slutsats: var detta ett bevakningsincident, en teknisk störning, eller förblev det oklart vad orsaken var. Den senare kategorin får gärna finnas; inte alla incidenter kan förklaras inom en dag, och en ärlig registrering säger det också så.
Skillnaden mellan att dokumentera och att anmäla
Registrering är något annat än anmälan. Organisationer som själva är väsentliga eller viktiga enligt NIS2-direktivet kommer att möta en anmälningsplikt gentemot sin tillsynsmyndighet, med tidsfrister som fastställs i själva lagstiftningen. För exakta tidsfrister och anmälningsmetoder hänvisar vi till den officiella texten och till tillsynsmyndigheten i ditt land; detta är en bedömning som vi medvetet inte gör här. Den som drabbas via leveranskedjan har vanligtvis ingen lagstadgad anmälningsplikt, men ofta en avtalsöverenskommelse med uppdragsgivaren om att anmäla incidenter inom en överenskommet tidsram. En god registrering är i båda fallen utgångspunkten: utan dokumentation finns det inget att återvända till när någon frågar om en förklaring.
Den som hanterar detta i ditt företag
I många installations- och tillverkningsföretag ligger ansvaret för produktionssystemen hos produktionsledningen, medan IT-ansvarig främst sysslar med kontorautomation. Detta gör det viktigt att i förväg fastställa vem som är ägare av incidentregistreringen som helhet, och vem som ringas först vid ett konkret incident. En registrering som förs i två separata system, ett för IT och ett för produktion, medför framför allt förseningar på det avgörande ögonblicket.
Vad secria gör och inte gör för dig
Secria hjälper till med att etablera dossén där denna registrering får en fast plats, med en status, ett bevisstycke och en ägare per åtgärd, och med förberedda texter för när en anmälan är nödvändig. Det vi inte gör är att lösa själva incidenten: ingen incidenthantering, ingen SOC, ingen rättslig utredning. Det förblir specialiserat arbete för andra parter, och vi förbereder så att du, när det väl inträffar, inte börjar från början. Mer om hur vi skaffar vår information och vilka källor vi använder läser du på sidan om hur det fungerar. Vad dossén och mallarna kostar finns på sidan med priser.
Vill du först veta om och hur ditt företag passar här exakt, som väsentlig eller viktig enhet eller som leverantör som drabbats av kedjan? Gör den kostnadsfria NIS2-kontrollen och se i ett par frågor var du ståreller läs vidare i kunskapsbanken för mer bakgrund till det här ämnet.