NIS2 i praksis: hvad skal en dansk virksomhed rent faktisk gøre?

NIS2 har skabt et marked for dokumentpakker og modenhedsmålinger, og en del virksomheder er endt med en velskrevet mappe og præcis samme sikkerhedsniveau som før. Direktivet handler om, at I skal styre jeres risiko - ikke om, at I skal beskrive den. Her er, hvad det betyder konkret.

Er I overhovedet omfattet?

NIS2 gælder mellemstore og store virksomheder inden for 18 udpegede sektorer. Som tommelfingerregel: mindst 50 ansatte eller en årlig omsætning over 10 mio. euro, kombineret med aktivitet i en af sektorerne - herunder energi, transport, sundhed, drikkevand, digital infrastruktur, offentlig forvaltning, affaldshåndtering, fødevareproduktion og en række fremstillingsområder.

Men der er en anden vej ind, som rammer langt flere: leverandørkravet. Er I underleverandør til en omfattet virksomhed, skal den stille krav til jer gennem kontrakten. I praksis betyder det, at en mindre softwareleverandør til et hospital eller et forsyningsselskab bliver mødt af NIS2-krav, uden selv at være direkte omfattet. Det er den situation, vi oftest bliver ringet op om.

De ti krav, kogt ned

Artikel 21 opremser de foranstaltninger, I som minimum skal have. Oversat til noget, man kan handle på:

1. Risikovurdering: I skal vide, hvad der kan gå galt, og have prioriteret det.
2. Hændelseshåndtering: en skreven og øvet plan for, hvem der gør hvad.
3. Driftskontinuitet: sikkerhedskopier, der er testet ved en faktisk gendannelse - ikke bare konfigureret.
4. Leverandørsikkerhed: styr på hvem der har adgang til hvad, og hvad de er forpligtet til.
5. Sikkerhed i indkøb og udvikling: sikkerhedskrav med fra start i nye systemer.
6. Måling af effekt: test at foranstaltningerne virker - typisk med en penetrationstest.
7. Cyberhygiejne og træning: patching, adgangsstyring og awareness for alle medarbejdere.
8. Kryptografi: en politik for hvornår og hvordan data krypteres.
9. Adgangsstyring: mindste nødvendige rettigheder og multifaktor på alt eksternt.
10. Sikker kommunikation: også når systemerne er nede - jeres kriseplan må ikke ligge på det netværk, der er ramt.

Fristerne ved en hændelse

Det er her, de fleste bliver overraskede. Ved en væsentlig hændelse løber tre frister parallelt, fra det øjeblik I bliver bekendt med den:

• 24 timer: tidlig varsling til myndigheden - kort, faktuel, uden fuld analyse
• 72 timer: egentlig hændelsesunderretning med en vurdering af omfang og alvor
• 1 måned: endelig rapport med årsag, konsekvens og iværksatte tiltag

Ingen af de frister kan overholdes, hvis proceduren først skal skrives, mens telefonen ringer. Det er den enkeltstående vigtigste grund til at have en beredskabsplan - ikke fordi den ser godt ud i en revision.

Ledelsen kan ikke uddelegere ansvaret

NIS2 placerer eksplicit ansvaret hos den øverste ledelse. Direktionen skal godkende risikoforanstaltningerne, føre tilsyn med dem og gennemgå relevant uddannelse. Ansvaret kan ikke skubbes ned i it-afdelingen eller ud til en leverandør - arbejdet kan udføres af andre, men ansvaret bliver, hvor det er.

Hvor bør I starte?

1. Få skriftligt fastslået, om og hvordan I er omfattet. Det tager typisk under en uge og afgør alt det følgende.
2. Skriv beredskabsplanen først. Den har den korteste vej fra dokument til reel værdi, og fristerne kræver den.
3. Test jeres sikkerhedskopier ved faktisk at gendanne noget. Overraskende mange opdager her, at det ikke virker.
4. Slå multifaktor til på al ekstern adgang. Det er den enkeltstående foranstaltning med størst effekt pr. krone.
5. Kortlæg jeres kritiske leverandører og deres adgange.
6. Få lavet en penetrationstest. Det er både et krav om at måle effekt og den hurtigste vej til at vide, hvor I reelt står.

Politikker og dokumentation skal også på plads, men de er lettest at skrive, når arbejdet er gjort. Beskriver I i stedet en virkelighed, I endnu ikke har, får I et dokumentsæt, der er forkert fra dag ét - og som ved et tilsyn er værre end intet.