NIS2 for norske virksomheter – hva som faktisk kreves av dere

NIS2-direktivet (EU 2022/2555) erstatter det første NIS-direktivet og utvider kretsen av virksomheter som må oppfylle uttrykkelige krav til cybersikkerhet. Kortversjonen: flere virksomheter omfattes, kravene er mer konkrete, og ansvaret flyttes opp til ledelsen.

Her er hva reguleringen betyr i praksis – og hvor dere bør begynne.

Omfattes dere?

To spørsmål avgjør: hvilken sektor dere er i, og hvor store dere er.

Sektorene deles i praksis i to grupper. Den ene omfatter blant annet energi, transport, bank og finansmarked, helse, drikkevann, avløpsvann, digital infrastruktur, forvaltning av IKT-tjenester og rommet. Den andre omfatter blant annet post- og kurettjenester, avfallshåndtering, kjemikalier, næringsmidler, produksjon, digitale tilbydere og forskning.

Størrelsesmessig tar regelverket i hovedsak utgangspunkt i mellomstore og store virksomheter – men det finnes viktige unntak. Enkelte virksomheter omfattes uansett størrelse, for eksempel kvalifiserte betrodde tjenesteleverandører, leverandører av allment tilgjengelige elektroniske kommunikasjonstjenester og sentrale DNS-tjenesteleverandører. Også mindre virksomheter kan omfattes dersom de er eneste leverandør av en tjeneste som er kritisk for samfunnet.

Konklusjonen: gjør en dokumentert vurdering av sektor, størrelse og eventuelle særregler. Er dere usikre, ta utgangspunkt i at dere kan omfattes og få det verifisert – det er billigere enn å oppdage det ved et tilsyn.

Kravene i sak

NIS2 er ikke en sjekkliste med produkter. Det er krav til et styringssystem for informasjonssikkerhet med følgende kjerneområder:

• Risikoanalyse og sikkerhetspolicy som er dokumentert og faktisk etterlevd.
• Hendelseshåndtering med definerte roller, eskaleringsveier og øvelse.
• Driftskontinuitet – backup, gjenoppretting og plan for å holde kritiske funksjoner i gang.
• Leverandørkjeden – dere har ansvar for sikkerheten hos leverandørene dere bruker, ikke bare deres egen.
• Sårbarhetsstyring og oppdateringer, inkludert en rutine for å håndtere kjente sårbarheter.
• Multifaktorautentisering og beskyttelse av kommunikasjon der det er relevant.
• Opplæring for ledelse og ansatte.
• Kryptering der det er formålstjenlig.

Rapportering er den skarpe fristen

Hendelsesrapporteringen er den delen som oftest undervurderes, fordi klokken går imot dere. En betydelig hendelse skal ifølge NIS2 varsles i flere trinn: en tidlig advarsel innen 24 timer, en hendelsesrapport innen 72 timer og en sluttrapport innen en måned.

I praksis betyr det at dere ikke kan finne opp rutinen når hendelsen inntreffer. Dere trenger:

1. En definisjon av hva som er en betydelig hendelse, forankret i virksomheten.
2. En navngitt person som kan sende den tidlige advarselen – også klokken tre om natten.
3. En mal og en kontaktvei til tilsynsmyndigheten, klar før den trengs.
4. Logging som gjør det mulig å beskrive hva som har skjedd innen 72 timer.

Ledelsens ansvar

En av de viktigste endringene er at ledelsen ikke kan delegere bort ansvaret. Ledelsen skal godkjenne risikostyringstiltakene, overvåke gjennomføringen og gjennomgå opplæring i cybersikkerhet. Ved alvorlige overtredelser kan sanksjoner rettes mot virksomheten – og i visse tilfeller mot ledende personer.

I praksis betyr det at NIS2 er en ledelsessak, ikke en IT-sak. Et godt første steg er å sette cyberrisiko på dagsordenen som et fast punkt: hva er vårt mest kritiske system, hva skjer hvis det står stille i 72 timer, og hvem har ansvaret?

Hvor dere bør begynne

1. Omfangsvurdering. Sektor, størrelse og særregler – dokumentert.
2. Gapanalyse mot kravene ovenfor. Hvor finnes policyen, og hvor finnes bare intensjonen?
3. Hendelsesrutine først. Den har den hardeste fristen og er billigst å rette.
4. Leverandørlisten. Hvilke tredjeparter har tilgang til deres kritiske systemer, og hvilke sikkerhetskrav stiller dere til dem i kontraktene?
5. Ledelsesforankring. Beslutninger, ansvar og opplæring – dokumentert.

Gjør det i den rekkefølgen. Regelverkets krav er i bunn og grunn det samme arbeidet som faktisk reduserer risikoen – forskjellen er at det nå skal være dokumentert, eid og mulig å vise frem.