NIS2-krav

NIS2 er et EU-direktiv, der skal styrke cybersikkerheden og modstandsdygtigheden i samfundsvigtige og kritiske sektorer. I Danmark er direktivet implementeret gennem NIS2-loven, som stiller krav til blandt andet risikostyring, sikkerhedsforanstaltninger, hændelsesrapportering, leverandørstyring, ledelsesansvar og dokumentation.

NIS2 kan omfatte både private og offentlige organisationer. Om en organisation er omfattet, afhænger blandt andet af sektor, størrelse og den konkrete rolle, organisationen har i leverandørkæden. Relevante sektorer omfatter blandt andet energi, transport, sundhed, drikkevand, digital infrastruktur, IT-tjenester, offentlig forvaltning, fødevarer, affaldshåndtering og produktion.

Nesp.ONE hjælper med at afklare, om organisationen er omfattet af NIS2, hvilke krav der gælder, og hvordan arbejdet kan omsættes til konkrete sikkerhedstiltag, dokumentation og løbende opfølgning.

Læs mere om NIS2 her: EUR.lex, Samsik.dk, Europa.eu, Retsinformation.dk

NIS2 kræver, at omfattede organisationer arbejder risikobaseret med passende tekniske, organisatoriske og operationelle sikkerhedsforanstaltninger. Det betyder, at sikkerhedstiltag skal tage udgangspunkt i organisationens konkrete risici, systemer, leverandører og kritiske services.

Kravene omfatter blandt andet hændelseshåndtering, beredskab og kontinuitet, leverandørstyring, adgangskontrol, asset management, kryptering hvor relevant, awareness, cyberhygiejne og dokumentation. Formålet er ikke kun at beskytte data, men også at reducere risikoen for driftsforstyrrelser, afbrudte leverancer og hændelser, der kan påvirke kunder, borgere, samarbejdspartnere eller samfundskritiske funktioner.

Nesp.ONE hjælper med at identificere relevante krav, prioritere nødvendige tiltag og etablere en struktureret tilgang, der understøtter både compliance og et højere sikkerhedsniveau.

En risikobaseret tilgang betyder, at organisationen skal prioritere sikkerhedsindsatsen ud fra, hvor konsekvenserne ved en hændelse er størst (Se mere om den risikobaseret tilgang her). Det kræver overblik over systemer, data, processer, leverandører, afhængigheder og de services, organisationen skal kunne levere.

Det betyder også, at alle sikkerhedstiltag ikke nødvendigvis skal implementeres på samme måde overalt. Kritiske systemer, forretningskritiske processer og centrale leverandører kan kræve et højere sikkerhedsniveau end mindre kritiske områder. En risikobaseret tilgang gør det muligt at anvende ressourcerne mere målrettet og dokumentere, hvorfor bestemte tiltag er prioriteret.

Nesp.ONE hjælper med risikovurdering, gap-analyse og handlingsplaner, så organisationen får et konkret grundlag for at arbejde målrettet mod NIS2-compliance.

NIS2 placerer ledelsen centralt i arbejdet med cybersikkerhed. Ledelsen skal kunne godkende, følge op på og sikre gennemførelsen af relevante cybersikkerhedsforanstaltninger. Det kræver ikke teknisk detailviden, men et klart beslutningsgrundlag om risici, ansvar, prioriteringer og nødvendige tiltag.

For organisationen betyder det, at cybersikkerhed skal behandles som en del af den samlede risikostyring. Ledelsen skal kunne dokumentere, at der arbejdes struktureret med sikkerhed, beredskab, leverandørstyring og hændelseshåndtering.

Nesp.ONE hjælper med at gøre ledelsesansvaret konkret gennem risikobilleder, prioriterede handlingsplaner, rapportering og dokumentation, der kan anvendes i ledelse, bestyrelse og tilsyn.

NIS2 stiller krav om rapportering af væsentlige sikkerhedshændelser inden for fastsatte frister. Som udgangspunkt skal der sendes en tidlig varsling inden for 24 timer, en hændelsesrapport inden for 72 timer og en afsluttende rapport senest én måned efter hændelsesrapporten (Læs mere om kravene til hændelsesunderetning her).

Det kræver klare procedurer for at opdage, vurdere, eskalere og dokumentere hændelser. Organisationen skal kunne vurdere hændelsens alvor, indsamle relevante oplysninger og sikre rettidig rapportering til de relevante myndigheder.

Nesp.ONE hjælper med at etablere IT-beredskabsplaner, rapporteringsprocedurer og action cards, så organisationen kan reagere hurtigt, begrænse konsekvenserne og dokumentere hændelseshåndteringen.

NIS2 kræver, at omfattede organisationer arbejder aktivt med sikkerhed i leverandørkæden. Det betyder, at organisationen skal vurdere relevante leverandører, stille passende sikkerhedskrav og følge op på, om kravene bliver efterlevet.

Leverandørstyring omfatter blandt andet risikovurdering, kontraktkrav, adgang til systemer og data, underleverandører, beredskab og dokumentation af sikkerhedsforanstaltninger. For leverandører betyder NIS2 også, at de kan blive mødt af skærpede krav fra NIS2-omfattede kunder, selvom de ikke nødvendigvis selv er direkte omfattet.

Nesp.ONE hjælper med at skabe overblik over leverandørrisici, fastlægge relevante sikkerhedskrav og etablere en praktisk proces for opfølgning og dokumentation.

Manglende efterlevelse af NIS2 kan føre til tilsyn, påbud og betydelige sanktioner. For væsentlige enheder kan bøder udgøre op til 10 mio. euro eller 2 procent af den globale årlige omsætning. For vigtige enheder kan bøder udgøre op til 7 mio. euro eller 1,4 procent af den globale årlige omsætning, afhængigt af hvilket beløb der er højest.

Den samlede risiko er dog bredere end sanktioner. Manglende styr på cybersikkerhed kan også føre til driftsforstyrrelser, forsinkede leverancer, tab af data, øgede omkostninger, kontraktmæssige konsekvenser og svækket tillid hos kunder, borgere og samarbejdspartnere.

Nesp.ONE hjælper med at etablere en struktureret og dokumenteret tilgang til NIS2, så organisationen kan reducere risikoen for både regulatoriske og driftsmæssige konsekvenser.