Hvad skal du vide om NIS2's ti foranstaltninger?
NIS2-direktivet beskriver ti typer foranstaltninger, som organisationer kan bruge til at dokumentere deres digitale sikkerhed. Det drejer sig ikke om ti separate regler, som du skal huks af én efter én, men om ti områder, hvor en organisation skal have politik og arbejdsprocesser. Mange aftagere overtager disse områder ordret i deres spørgeskemaer om cybersikkerhed, fordi de til gengæld skal kunne dokumentere, at deres leverandører gør noget ved det.
Om direktivet gælder direkte for din organisation, afhænger af den sektor, du opererer i, og din størrelse. Mange mindre virksomheder falder ikke direkte under NIS2, men får spørgsmålene alligevel videresendt, fordi deres kunde gør det, og leverandørkæden skal stille spørgsmål videre. Denne forskel mellem at falde direkte under direktivet og at være en del af en andens ansvar er præcis, hvor meget af forvirringen opstår.
Hvad handler de ti områder om
Direktivet nævner blandt andet risikovurdering og informationssikkerhedspolitik, håndtering af hændelser, forretningskontinuitet og krisestyring ved forstyrrelser samt sikring af leverandørkæden. Derudover nævner det sikkerhed ved indkøb, udvikling og vedligeholdelse af netværks- og informationssystemer, politik for at vurdere effektiviteten af foranstaltninger samt grundlæggende praksis inden for cyberhygiejne og bevidsthedsuddannelse for medarbeidere. De sidste områder drejer sig om politik for brug af kryptografi og kryptering, personalesikkerhed og adgangskontrolpolitik, styring af virksomhedsaktiver og brugen af multifaktorgodkendelse eller lignende løsninger til sikker kommunikation.
Det er vigtigt at se, at disse er politikområder, ikke en tjekliste med ét korrekt svar. En installationsfirma med ti medarbeidere vil sandsynligvis give et anderledes, enklere svar inden for hvert af disse områder end en it-serviceudbyder med hundrede medarbeidere. Tilsynsmyndigheder ser på, om foranstaltningerne passer til de risici, som organisationen står over for, ikke på en fast skabelon, der er ens for alle.
Hvorfor din kunde spørger efter dette
Hvis din aftager falder under NIS2, skal aftageren kunne dokumentere, at hans eller hendes leverandører også er opmærksom på disse områder. Det er derfor, spørgeskemaer ofte gennemgår de ti områder ordret: har du en incidentprocedure, bruger du multifaktorgodkendelse, har du politik for dine leverandører. For dig som modtager af spørgeskemaet betyder det ofte, at de samme ti emner kommer tilbage i lidt forskellige formuleringer hos hver kunde, der sender listen.
Det er også det største praktiske problem: ikke indholdet af spørgsmålene, men gentagelsen. De samme oplysninger om din adgangskodesikkerhedspolitik, dine sikkerhedskopiprocedurer og din incidenthåndtering bliver stillet i ti forskellige formater, med ti forskellige portaler. Supplia er opbygget for at reducere dette gentagne arbejde: du besvarer disse emner én gang i din egen kædejournal, og systemet genkender lignende spørgsmål på listen fra hver ny kunde. Du bekræfter selv hvert svar med ja eller nej, før det går til din kundes portal; Supplia vurderer ikke noget og logger ikke selv ind nogen steder.
Hvordan du gør dette overskueligt for dig selv
Det hjælper ikke at starte med de ti områder selv, men med det, du allerede har: en adgangskodesikkerhedspolitik, en sikkerhedskopieplan, en liste over, hvem der har adgang til hvilke systemer. Mange af disse dokumenter eksisterer allerede, men ligger spredt omkring i mapper og på folk. At organisere det er ofte mere arbejde end at implementere nye foranstaltninger faktisk. forklaringen pr. emne i vidensbasen gennemgår de ti områder én efter én med hvad der hører til det.
Hvis du hurtigt vil vide, hvilke af disse områder, som allerede synes at være i orden i din situation, og hvilke der kræver opmærksomhed, så giver genkendelsestjekket på et par spørgsmål en første indikation. For those who want to know where the information on Supplia comes from and how it is maintained, it siden om vores arbejdsmetode explains that.
Whether NIS2 applies in your specific case and which measures are appropriate in that context is something you should best submit to a lawyer or the competent supervisory authority. This article describes the directive in general terms and does not replace that advice.
Do you recognize the questions your customer sends, but would you first like to see how filling it in works in practice? Read the frequently asked questions about filling in and submitting or start the free quick-scan to see which topics are relevant to your company.