NIS2 for danske virksomheder – hvad der reelt kræves af jer

NIS2-direktivet (EU 2022/2555) erstatter det første NIS-direktiv og udvider kredsen af virksomheder, der skal leve op til udtrykkelige krav til cybersikkerhed. Kort version: flere virksomheder er omfattet, kravene er mere konkrete, og ansvaret flyttes op i ledelsen.

Her er, hvad reguleringen betyder i praksis – og hvor I bør begynde.

Er I omfattet?

To spørgsmål afgør det: hvilken sektor I arbejder i, og hvor store I er.

Sektorerne deles i praksis i to grupper. Den ene omfatter blandt andet energi, transport, bank og finansmarked, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af IKT-tjenester og rummet. Den anden omfatter blandt andet post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning.

Størrelsesmæssigt tager reglerne primært udgangspunkt i mellemstore og store virksomheder – men der er vigtige undtagelser. Visse virksomheder er omfattet uanset størrelse, for eksempel kvalificerede betroede tjenesteudbydere, udbydere af offentligt tilgængelige elektroniske kommunikationstjenester og centrale DNS-tjenesteudbydere. Også mindre virksomheder kan være omfattet, hvis de er eneste udbyder af en tjeneste, der er kritisk for samfundet.

Konklusionen: lav en dokumenteret vurdering af sektor, størrelse og eventuelle særregler. Er I i tvivl, så antag at I kan være omfattet, og få det verificeret – det er billigere end at opdage det ved et tilsyn.

Kravene i sag

NIS2 er ikke en tjekliste med produkter. Det er krav til et ledelsessystem for informationssikkerhed med følgende kerneområder:

• Risikoanalyse og sikkerhedspolitik, der er dokumenteret og faktisk efterlevet.
• Hændelseshåndtering med definerede roller, eskaleringsveje og øvelse.
• Driftskontinuitet – backup, gendannelse og plan for at holde kritiske funktioner kørende.
• Leverandørkæden – I har ansvaret for sikkerheden hos de leverandører, I bruger, ikke kun jeres egen.
• Sårbarhedsstyring og opdateringer, inklusive en rutine for at håndtere kendte sårbarheder.
• Multifaktorautentifikation og beskyttelse af kommunikation, hvor det er relevant.
• Uddannelse for ledelse og medarbejdere.
• Kryptering, hvor det er formålstjenligt.

Rapportering er den skarpe deadline

Hændelsesrapporteringen er den del, der oftest undervurderes, fordi uret går imod jer. En betydelig hændelse skal ifølge NIS2 anmeldes i flere trin: en tidlig advarsel inden for 24 timer, en hændelsesrapport inden for 72 timer og en slutrapport inden for en måned.

I praksis betyder det, at I ikke kan opfinde rutinen, når hændelsen sker. I har brug for:

1. En definition af, hvad der er en betydelig hændelse, forankret i forretningen.
2. En navngiven person, der kan sende den tidlige advarsel – også klokken tre om natten.
3. En skabelon og en kontaktvej til tilsynsmyndigheden, klar før den skal bruges.
4. Logning, der gør det muligt at beskrive, hvad der er sket, inden for 72 timer.

Ledelsens ansvar

En af de vigtigste ændringer er, at ledelsen ikke kan delegere ansvaret væk. Ledelsen skal godkende risikostyringsforanstaltningerne, overvåge gennemførelsen og gennemgå uddannelse i cybersikkerhed. Ved alvorlige overtrædelser kan sanktioner rettes mod virksomheden – og i visse tilfælde mod ledende personer.

I praksis betyder det, at NIS2 er en ledelsesopgave, ikke en IT-opgave. Et godt første skridt er at sætte cyberrisiko på dagsordenen som et fast punkt: hvad er vores mest kritiske system, hvad sker der, hvis det står stille i 72 timer, og hvem har ansvaret?

Hvor I bør begynde

1. Omfattelsesvurdering. Sektor, størrelse og særregler – dokumenteret.
2. Gapanalyse mod kravene ovenfor. Hvor findes politikken, og hvor findes kun intentionen?
3. Hændelsesrutine først. Den har den strammeste deadline og er billigst at rette.
4. Leverandørlisten. Hvilke tredjeparter har adgang til jeres kritiske systemer, og hvilke sikkerhedskrav stiller I til dem i kontrakterne?
5. Ledelsesforankring. Beslutninger, ansvar og uddannelse – dokumenteret.

Gør det i den rækkefølge. Reglernes krav er grundlæggende det samme arbejde, der faktisk reducerer risikoen – forskellen er, at det nu skal være dokumenteret, ejet og muligt at vise frem.