De tio åtgärderna från omsorgspliken, i enkla ord
Om din organisation omfattas av NIS2-direktivet som en viktig eller kritisk enhet gäller en omsorgsplight: du måste vidta lämpliga åtgärder för att hantera riskerna för dina nätverks- och informationssystem. Direktivet utvecklar detta genom en serie av tio typer av åtgärder, som anges i artikel 21. De är avsiktligt brett formulerade, så att de passar både ett installationsföretag med tjugo anställda och ett energiföretag med tusen. Hur vet du att en åtgärd är genomförd? Inte genom en bockmarkering, utan genom tre saker som hör ihop: ett konkret dokument eller en teknisk inställning som implementerar åtgärden, namnet på någon som är ansvarig för det, och ett tillfälle då det senast kontrollerades.
De tio åtgärderna delas grovt in i fyra grupper: att känna till och dokumentera risker, att hantera incidenter, att hantera leveranskedjan och att hålla människor och teknik i ordning. Nedan går vi igenom dem, inte som en checklista att bocka av utan som en förklaring av vad varje åtgärd betyder i praktiken.
Att känna till och dokumentera risker
Den första åtgärden är en policy för riskanalys och informationssäkerhet: ett dokument som beskriver vilka system som är viktiga, vad som kan gå fel och hur du bedömer det. Det behöver inte vara en tjock rapport, men det måste vara något som en utomstående — en tillsynsmyndighet, en uppdragsgivare, en ny kollega — kan läsa och förstå. Dessutom nämner direktivet policy och procedurer för att bedöma effektiviteten av åtgärder: du dokumenterar inte bara vad du gör, utan också hur du kontrollerar att det fungerar. Och det finns en separat åtgärd för cyberhygien och träning: praktiska grundregler och de anställdas förmåga att känna igen ett misstänkt e-postmeddelande.
Att hantera incidenter
En andra grupp handlar om vad som händer om något går fel. Incidenthantering innebär att det finns en procedur för vem som gör vad så fort en incident upptäcks, och hur det rapporteras. Affärskontinuitet — inklusive säkerhetskopiering, återställning efter nödsituationer och krishantering — handlar om hur du kan fortsätta efter ett avbrott eller en attack: har du en aktuell säkerhetskopia, vet du vem som leder krisen, och har detta någonsin testats. Det här är den delen där organisationer ofta förlitar sig på något utan att ha testat det, och just det testet är vad en tillsynsmyndighet eller uppdragsgivare vill se.
Att hantera leveranskedjan
Direktivet ägnar en separat åtgärd åt säkerhet i leveranskedjan, inklusive relationen till enskilda leverantörer. Det är anledningen till att även icke-omfattade små och medelstora företag får enkäter från sina uppdragsgivare: uppdragsgivaren måste bedöma sin egen kedja för att uppfylla denna åtgärd. En relaterad åtgärd handlar om säkerhet vid anskaffning, utveckling och underhåll av nätverks- och informationssystem, inklusive hantering av säkerhetsbristerna — alltså även frågan om hur programvara köps in och underhålls.
Att hålla människor och teknik i ordning
Den sista gruppen är den mest teknisk, men inte mindre konkret. Personalsäkerhet, accesskontroll och hantering av företagstillgångar handlar om vem som kan komma åt vilka system och vad som händer när någon slutar sitt arbete. Användning av flerfaktorsautentisering eller motsvarande lösningar, och säker röst-, video- och textkommunikation och säkra nödkommunikationssystem, är den åtgärd som ligger närmast den dagliga verksamheten: är det fortfarande möjligt att logga in på e-post och företagssystem med bara ett lösenord, eller finns det ett andra steg. Och där tillämpligt gäller det policy och procedurer för användning av kryptografi och, där relevant, kryptering.
Det som dessa tio åtgärder har gemensamt är att de alla kräver tre saker: ett bevis, en ansvarig och en kontrollpunkt. Det är också exakt hur ett levande register är uppbyggt, istället för en ögonblicksbild som är föråldrad efter ett halvår. Hur streng en åtgärd måste vara i ditt fall beror på storleken på din organisation och de risker som är förknippade med din sektor — om det gärna den kostnadsfria kontrollen på några frågor en första indikation.
För den som vill veta hur dessa tio åtgärder översätts till nationell lagstiftning och till konkreta åtgärder per ämne finns det en översikt per ämne, sorterad efter situation. Där förklaras också vilken källa som hör till vilken förklaring och på vilket datum den konsulterades, vilket beskrivs på sidan om var informationen kommer från. För frågan om vad som exakt är kostnadsfritt och vad som ingår i en prenumeration finns det en översikt över vanliga frågor.
Dessa tio åtgärder är ett ramverk, inte en fyllningsövning med ett rätt svar. Det som är lämpligt för din organisation beror på din sektor, storlek och de system du är beroende av — den mest säkra vägen finns i lagstiftningen själv och i förklaringen från tillsynsmyndigheten. Vill du först veta om och hur denna aktsamhetsplikt gäller för din organisation, börja då med den kostnadsfria NIS2-kontrollen eller bläddra igenom kunskapsbanken på secria.eu.