Checklista för NIS2-beredskap: praktiska steg för företag

Vad det är

NIS2-beredskap innebär att förstå om och hur direktivet gäller för er, och sedan bygga upp och dokumentera de styrningsmässiga, tekniska och organisatoriska åtgärder som det förväntar sig. Artikel 21 räknar upp områdena för riskhanteringsåtgärder inom cybersäkerhet, bland annat riskanalys och säkerhetspolicyer, incidenthantering, kontinuitet och krishantering, säkerhet i leveranskedjan, säkerhet vid förvärv och utveckling inklusive hantering av sårbarheter, bedömning av åtgärdernas effektivitet, grundläggande cyberhygien och utbildning, kryptografi, personalsäkerhet och åtkomstkontroll samt flerfaktors- eller kontinuerlig autentisering. Artikel 20 lägger ansvaret på ledningsorganen att godkänna och övervaka dessa åtgärder. Artikel 23 fastställer stegvis incidentrapportering till behörig myndighet eller CSIRT: en tidig varning inom 24 timmar från att man fått kännedom om en betydande incident, en incidentanmälan inom 72 timmar och en slutrapport inom en månad efter incidentanmälan. Nationell rätt kan lägga till detaljer, och för vissa digitala leverantörer, som leverantörer av molntjänster, datacenter, hanterade tjänster och DNS, anger kommissionens genomförandeförordning (EU) 2024/2690 de tekniska kraven mer detaljerat.

Vem det är för

Checklistan är avsedd för:

• Medelstora och större organisationer i sektorer som omfattas av NIS2 och som bedömer sin position
• Leverantörer till omfattade verksamheter som får säkerhetsformulär kopplade till NIS2
• Ledningsgrupper som behöver en strukturerad bild av vad som bör diskuteras med juridiska och tekniska rådgivare
• IT- och säkerhetsansvariga som förbereder en gapanalys och en färdplan

Vad det hjälper till att klargöra

Att gå igenom checklistan hjälper till att klargöra:

• Om organisationen sannolikt omfattas och vilken nationell myndighet som är aktuell
• Var nuvarande kontroller och dokumentation inte räcker till i förhållande till de förväntade åtgärderna
• Vem i ledningen som är ansvarig och vilken utbildning de behöver
• Vilka brister som ska hanteras först och vilka som kräver separat specialistinsats

Vad ingår

• Omfattning: bekräfta sektor, storlek och de medlemsstater där ni verkar; dokumentera resultatet och resonemanget
• Registrering: kontrollera om nationell rätt kräver att ni registrerar er hos en myndighet, och senast när
• Styrning: utse en ansvarig chef, kom överens om hur ledningen godkänner och granskar säkerhetsåtgärder och planera utbildning för ledningen
• Riskbedömning: dokumentera kritiska tjänster, stödjande system och de huvudsakliga riskerna mot dem
• Policyer: upprätthåll en informationssäkerhetspolicy, regler för åtkomstkontroll och riktlinjer för kryptografi
• Incidenthantering: definiera vad en betydande incident är för er, vem som beslutar och hur rapporterna för 24 timmar, 72 timmar och en månad ska tas fram
• Kontinuitet: testa säkerhetskopior och återställning för kritiska tjänster och dokumentera kriskommunikation
• Leveranskedja: lista viktiga IKT-leverantörer, granska deras säkerhetsåtaganden och ta in säkerhetsklausuler i avtal
• Säker utveckling och hantering av sårbarheter: definiera hur sårbarheter rapporteras, bedöms och åtgärdas
• Hygien och utbildning: genomför regelbunden medvetandeutbildning, uppdatera enligt schema och upprätthåll MFA
• Effektivitet: planera periodiska granskningar eller tester för att visa att åtgärderna fungerar

Vad som inte ingår

• Juridisk rådgivning eller ett avgörande om att ni omfattas eller inte omfattas
• Certifiering, godkännande av regelefterlevnad eller ett officiellt revisionsutlåtande
• Inlämning av rapporter eller registreringar till myndigheter för er räkning
• Ett påstående om att genomförd checklista uppfyller nationell rätt

När det passar att välja den

Använd checklistan när ni först bedömer NIS2, när det nationella införlivandet i ett land där ni verkar publiceras eller uppdateras, eller när en kund begär belägg för säkerhet i linje med NIS2. Kombinera den med juridisk rådgivning om omfattning och nationella krav. Om ni redan driver ett program baserat på ISO 27001, mappa befintliga kontroller mot checklistan innan ni skapar nya dokument. Den här artikeln är allmän information och inte juridisk rådgivning.

Vår strategi

Börja med omfattning och styrning; tekniskt arbete utan ägarskap i ledningen tenderar att stanna av. Genomför sedan en gapanalys mot åtgärderna, baserad på belägg snarare än antaganden: konfiguration, loggar, testresultat, avtal och dokumentation av utbildning. Rangordna bristerna efter risk och insats och bygg en färdplan med ansvariga och datum. Vår tjänst Security Baseline Review kan ge en dokumenterad utgångspunkt: en skriftlig bild av överenskomna tillgångar, iakttagelser klassade efter allvarlighetsgrad och iakttagelser om beredskapsbrister mot en överenskommen referens där det ingår i den bekräftade omfattningen. Den stöder interna beslut och dialog med intressenter med en dokumenterad bild av beredskapen som ni kan ta med till certifieringsorgan och juridiska rådgivare. När det gäller incidenthantering, öva rapporteringsförloppet med en skrivbordsövning så att den tidiga varningen inom 24 timmar är realistisk snarare än teoretisk. Se över färdplanen i takt med att nationell vägledning utvecklas.

Security Baseline Review

Vanliga frågor

Relaterade artiklar