Tjekliste til NIS2-parathed: praktiske trin for virksomheder

Hvad det er

NIS2-parathed betyder at forstå, om og hvordan direktivet gælder for jer, og derefter at opbygge og dokumentere de ledelsesmæssige, tekniske og organisatoriske foranstaltninger, det forventer. Artikel 21 oplister områderne for foranstaltninger til styring af cybersikkerhedsrisici, herunder risikoanalyse og sikkerhedspolitikker, håndtering af hændelser, driftskontinuitet og krisestyring, forsyningskædesikkerhed, sikkerhed ved anskaffelse og udvikling, herunder håndtering af sårbarheder, vurdering af foranstaltningernes effektivitet, grundlæggende cyberhygiejne og uddannelse, kryptografi, personalesikkerhed og adgangskontrol samt multifaktor- eller kontinuerlig autentifikation. Artikel 20 pålægger ledelsesorganerne ansvaret for at godkende og føre tilsyn med disse foranstaltninger. Artikel 23 fastsætter en trinvis hændelsesrapportering til den kompetente myndighed eller CSIRT: en tidlig varsling inden for 24 timer efter at være blevet opmærksom på en væsentlig hændelse, en hændelsesunderretning inden for 72 timer og en endelig rapport senest en måned efter hændelsesunderretningen. National lovgivning kan tilføje detaljer, og for visse digitale udbydere, såsom udbydere af cloud, datacentre, administrerede tjenester og DNS, fastsætter Kommissionens gennemførelsesforordning (EU) 2024/2690 de tekniske krav mere detaljeret.

Hvem er det for?

Denne tjekliste er beregnet til:

• Mellemstore og større organisationer i sektorer omfattet af NIS2, som vurderer deres situation
• Leverandører til omfattede enheder, der modtager sikkerhedsspørgeskemaer relateret til NIS2
• Ledelsesteams, der har brug for et struktureret overblik over, hvad der skal drøftes med juridiske og tekniske rådgivere
• IT- og sikkerhedsansvarlige, der forbereder en gap-analyse og en køreplan

Hvad det hjælper med at afklare

Når I gennemgår tjeklisten, hjælper det med at afklare:

• Om jeres organisation sandsynligvis er omfattet, og hvilken national myndighed der er relevant
• Hvor de nuværende kontroller og den nuværende dokumentation ikke lever op til de forventede foranstaltninger
• Hvem i ledelsen der er ansvarlig, og hvilken uddannelse de har brug for
• Hvilke mangler der skal håndteres først, og hvilke der kræver særskilt specialistbistand

Hvad er inkluderet

• Omfang: bekræft sektor, størrelse og de medlemsstater, hvor I opererer; registrér resultatet og begrundelsen
• Registrering: kontrollér, om national lovgivning kræver, at I registrerer jer hos en myndighed, og inden hvornår
• Ledelse: udpeg en ansvarlig direktør, aftal, hvordan ledelsen godkender og gennemgår sikkerhedsforanstaltninger, og planlæg uddannelse af ledelsen
• Risikovurdering: dokumentér kritiske tjenester, understøttende systemer og de vigtigste risici for dem
• Politikker: vedligehold en informationssikkerhedspolitik, regler for adgangskontrol og vejledning om kryptografi
• Håndtering af hændelser: definér, hvad en væsentlig hændelse er for jer, hvem der beslutter, og hvordan rapporterne efter 24 timer, 72 timer og en måned forberedes
• Kontinuitet: test backups og gendannelse for kritiske tjenester, og dokumentér krisekommunikation
• Forsyningskæde: oplist de vigtigste ICT-leverandører, gennemgå deres sikkerhedstilsagn, og indsæt sikkerhedsklausuler i kontrakterne
• Sikker udvikling og håndtering af sårbarheder: definér, hvordan sårbarheder rapporteres, triageres og rettes
• Hygiejne og uddannelse: gennemfør regelmæssig awareness-træning, patch efter plan, og håndhæv MFA
• Effektivitet: planlæg periodiske gennemgange eller test for at vise, at foranstaltningerne virker

Hvad er ikke inkluderet?

• Juridisk rådgivning eller en afgørelse af, om I er omfattet eller ej
• Certificering, godkendelse af compliance eller en officiel revisionserklæring
• Indsendelse af rapporter eller registreringer til myndigheder på jeres vegne
• En påstand om, at gennemførelse af tjeklisten opfylder national lovgivning

Hvornår du skal vælge det

Brug denne tjekliste, når I første gang vurderer NIS2, når den nationale gennemførelse i et land, hvor I opererer, offentliggøres eller opdateres, eller når en kunde beder om dokumentation for NIS2-tilpasset sikkerhed. Kombinér den med juridisk rådgivning om omfang og nationale krav. Hvis I allerede driver et program baseret på ISO 27001, så kortlæg eksisterende kontroller i forhold til tjeklisten, før I udarbejder nye dokumenter. Denne artikel er generel information og ikke juridisk rådgivning.

Vores tilgang

Start med omfang og ledelse; teknisk arbejde uden ledelsesmæssigt ejerskab har en tendens til at gå i stå. Gennemfør derefter en gap-analyse i forhold til foranstaltningerne baseret på beviser frem for antagelser: konfiguration, logs, testresultater, kontrakter og registreringer af uddannelse. Rangér manglerne efter risiko og indsats, og opbyg en køreplan med ejere og datoer. Vores tjeneste Security Baseline Review kan give et dokumenteret udgangspunkt: en skriftlig vurdering af aftalte aktiver, observationer graderet efter alvorlighed og observationer af parathedsmangler i forhold til en aftalt reference, hvor det indgår i det bekræftede omfang. Den understøtter interne beslutninger og drøftelser med interessenter med et dokumenteret overblik over parathed, som I kan tage med til certificeringsorganer og juridiske rådgivere. Hvad angår håndtering af hændelser, så øv rapporteringstidslinjen med en tabletop-øvelse, så den tidlige varsling inden for 24 timer er realistisk frem for teoretisk. Vend tilbage til køreplanen, efterhånden som den nationale vejledning udvikler sig.

Security Baseline Review

Ofte stillede spørgsmål

Relaterede artikler