Hur hanterar du NIS2 som SMF utan att göra det till ett årslångt projekt?
Den kortaste vägen är inte att skriva en stor plan, utan att börja med det som redan finns. De flesta SMF-företag har redan en lösenordspolicy, ett säkerhetskopieschema, en lista över vem som har åtkomst till vilka system och en kontaktperson för IT. Det är inte en fullständig cybersäkerhetspolicy, men det är utgångspunkten för ett register: för varje åtgärd notera status, vem som är ansvarig och vilket dokument som bevisar att det faktiskt genomförts.
Att bygga ett register på det här sättet är inget projekt på månader. Det är en lista som du öppnar idag och som växer medan du arbetar: en åtgärd är redan på plats, en annan läggs till den här månaden. Det finns ingen tidpunkt då det är "färdigt", och det är inte heller meningen. Den skyldighet som följer av NIS2-direktivet och de nationella lagar som härrör från det är ingen engångshändelse utan en löpande praktik. Ett levande register passar bättre där än ett tjockt dokument som försvinner i en mapp efter leverans.
Börja med det som redan finns, inte från en blank sida
Många företag tror att de börjar från noll när ordet NIS2 faller. Det är sällan sant. Ett installationsföretag har vanligtvis redan avtal om vem som har åtkomst till kundernas system, en HR-avdelning har en process för att återkalla åtkomst vid uppsägning, och nästan alla företag har någon form av säkerhetskopiering, även om det inte står på papper som "säkerhetskopieringspolicy". Första steget är därför inte att skriva, utan att inventera: vad gör vi redan, var är det dokumenterat, och vem kan bevisa det.
Därefter följer frågan om vilka delar som saknas. Det sparar inte bara tid, det förhindrar också att du gör dubbelt arbete eller skapar policyer för något som redan är väl ordnat i praktiken, bara inte synligt gjort. Om du först vill veta om din organisation alls omfattas här, eller påverkas genom en kund, kan du se var du ungefär står med ett par frågor, utan att du behöver köpa något.
En åtgärd, en status, en ansvarig, ett bevis
Kärnan i ett användbart register är enkelt: fyra fasta fält per åtgärd. Status visar om något är ordnat, delvis ordnat eller måste göras. Ansvarig är den person som är ansvarig, inte nödvändigtvis direktören själv. Beviset är det som visar att åtgärden finns: ett schema, en export från ett system, ett undertecknat dokument. Utan dessa fyra fält förblir ett register en samling goda avsikter; med dessa fält blir det något som du också kan använda för att svara på en kunders säkerhetsfrågelista, eftersom du inte behöver improvisera utan kan hänvisa till det som redan är dokumenterat.
Den här strukturen fungerar också bra för att du inte behöver ta itu med allt på en gång. Du kan börja med de åtgärder där du redan har mest på plats, som är snabba att ordna, och ta upp resten stegvis. En översikt över vilka åtgärder som skyldigheten faktiskt förväntar sig och vad som faller under det hittar du i de utförligt behandlade områdena för varje situation.
Varför det går snabbare än det låter
Intrycket att NIS2 är ett årslångt projekt uppstår ofta för att människor tänker på ett helt färdigt policydokument som måste vara klart på en gång. Ett levande register fungerar omvänt: det börjar litet och ofullständigt och uppdateras automatiskt varje gång något förändras i din organisation, eftersom du redan är i gång med den förändringen. En ny leverantör, ett annat åtkomstsystem, en ny anställd med administratörsrättigheter — varje tillfälle är en naturlig anledning att uppdatera registret i stället för att göra allt på nytt en gång per år.
Vad registret ger och inte ger
Från ett sparat register följer de dokument du behöver: själva policyn, svar på frågelistor från dina kunder, och förberedda texter för registrering eller anmälan till tillsynsmyndigheten. Du måste dock själv skicka in denna anmälan eller registrering via tillsynsmyndighetens portal; ett register förbereder det, men tar inte över inlämningen. Registret är heller ingen ersättning för en granskning, ett penetrationtest eller certifiering — det förblir arbete för specialiserade parter, precis som incidenthantering när något faktiskt går fel.
Om du vill veta exakt hur ett sådant register tas fram och vilka källor som används, läser du det på sidan om var informationen i plattformen kommer från. För situationen i din egen organisation, med tillhörande juridiska konsekvenser, är en jurist eller den behöriga tillsynsmyndigheten den lämpliga kontaktpunkten.
Vill du se var din organisation befinner sig just nu, gör då den kostnadsfria NIS2-kontrollen eller bläddra igenom de ämnen som ligger närmast din situation.