Sjekkliste for NIS2-beredskap: praktiske steg for virksomheter

Hva det er

NIS2-beredskap betyr å forstå om og hvordan direktivet gjelder for dere, og deretter bygge og dokumentere de styringsmessige, tekniske og organisatoriske tiltakene det forventer. Artikkel 21 lister opp områdene for risikostyringstiltak innen cybersikkerhet, blant annet risikoanalyse og sikkerhetspolicyer, hendelseshåndtering, kontinuitet og krisehåndtering, sikkerhet i leverandørkjeden, sikker anskaffelse og utvikling inkludert håndtering av sårbarheter, vurdering av tiltakenes effektivitet, grunnleggende cyberhygiene og opplæring, kryptografi, personalsikkerhet og tilgangskontroll, samt flerfaktor- eller kontinuerlig autentisering. Artikkel 20 legger ansvaret på ledelsesorganene for å godkjenne og føre tilsyn med disse tiltakene. Artikkel 23 fastsetter trinnvis hendelsesrapportering til kompetent myndighet eller CSIRT: et tidlig varsel innen 24 timer etter at man har blitt kjent med en betydelig hendelse, en hendelsesmelding innen 72 timer og en sluttrapport innen én måned etter hendelsesmeldingen. Nasjonal rett kan legge til detaljer, og for visse digitale tilbydere, som leverandører av skytjenester, datasentre, administrerte tjenester og DNS, fastsetter Kommisjonens gjennomføringsforordning (EU) 2024/2690 de tekniske kravene mer detaljert.

Hvem det er for

Denne sjekklisten er beregnet på:

• Mellomstore og større organisasjoner i sektorer som omfattes av NIS2, og som vurderer sin posisjon
• Leverandører til omfattede virksomheter som mottar sikkerhetsspørreskjemaer knyttet til NIS2
• Ledergrupper som trenger en strukturert oversikt over hva som bør drøftes med juridiske og tekniske rådgivere
• IT- og sikkerhetsansvarlige som forbereder en gapanalyse og et veikart

Hva det hjelper med å klarlegge

Å gå gjennom sjekklisten bidrar til å avklare:

• Om organisasjonen sannsynligvis er omfattet, og hvilken nasjonal myndighet som gjelder
• Hvor dagens kontroller og dokumentasjon ikke strekker til opp mot de forventede tiltakene
• Hvem i ledelsen som er ansvarlig, og hvilken opplæring de trenger
• Hvilke gap som bør håndteres først, og hvilke som krever eget spesialistbidrag

Hva er inkludert

• Omfang: bekreft sektor, størrelse og medlemsstatene dere opererer i; dokumenter resultatet og begrunnelsen
• Registrering: sjekk om nasjonal rett krever at dere registrerer dere hos en myndighet, og innen når
• Styring: utpek en ansvarlig leder, avtal hvordan ledelsen godkjenner og gjennomgår sikkerhetstiltak, og planlegg opplæring av ledelsen
• Risikovurdering: dokumenter kritiske tjenester, underliggende systemer og de viktigste risikoene mot dem
• Policyer: oppretthold en policy for informasjonssikkerhet, regler for tilgangskontroll og retningslinjer for kryptografi
• Hendelseshåndtering: definer hva en betydelig hendelse er for dere, hvem som avgjør, og hvordan rapportene for 24 timer, 72 timer og én måned skal utarbeides
• Kontinuitet: test sikkerhetskopier og gjenoppretting for kritiske tjenester, og dokumenter krisekommunikasjon
• Leverandørkjede: list opp viktige IKT-leverandører, gjennomgå deres sikkerhetsforpliktelser og ta inn sikkerhetsklausuler i kontrakter
• Sikker utvikling og håndtering av sårbarheter: definer hvordan sårbarheter rapporteres, vurderes og rettes
• Hygiene og opplæring: gjennomfør regelmessig bevisstgjøringsopplæring, oppdater etter plan og håndhev MFA
• Effektivitet: planlegg periodiske gjennomganger eller tester for å vise at tiltakene virker

Hva er ikke inkludert

• Juridisk rådgivning eller en avgjørelse om at dere er eller ikke er omfattet
• Sertifisering, godkjenning av etterlevelse eller en offisiell revisjonsuttalelse
• Innsending av rapporter eller registreringer til myndigheter på deres vegne
• En påstand om at gjennomføring av sjekklisten oppfyller nasjonal rett

Når skal den velges

Bruk denne sjekklisten når dere først vurderer NIS2, når nasjonal gjennomføring i et land dere opererer i blir publisert eller oppdatert, eller når en kunde ber om bevis på sikkerhet i tråd med NIS2. Kombiner den med juridisk rådgivning om omfang og nasjonale krav. Hvis dere allerede driver et program basert på ISO 27001, kartlegg eksisterende kontroller mot sjekklisten før dere lager nye dokumenter. Denne artikkelen er generell informasjon og ikke juridisk rådgivning.

Vår tilnærming

Start med omfang og styring; teknisk arbeid uten eierskap i ledelsen har en tendens til å stoppe opp. Gjennomfør deretter en gapanalyse mot tiltakene, basert på bevis i stedet for antakelser: konfigurasjon, logger, testresultater, kontrakter og dokumentasjon av opplæring. Ranger gapene etter risiko og innsats, og lag et veikart med eiere og datoer. Tjenesten vår Security Baseline Review kan gi et dokumentert utgangspunkt: en skriftlig oversikt over avtalte eiendeler, observasjoner gradert etter alvorlighet og observasjoner av beredskapsgap mot en avtalt referanse der det inngår i det bekreftede omfanget. Den støtter interne beslutninger og dialog med interessenter med en dokumentert oversikt over beredskapen som dere kan ta med til sertifiseringsorganer og juridiske rådgivere. For hendelseshåndtering bør dere øve på rapporteringsløpet med en skrivebordsøvelse, slik at det tidlige varselet innen 24 timer er realistisk og ikke teoretisk. Gå gjennom veikartet på nytt etter hvert som nasjonal veiledning utvikler seg.

Security Baseline Review

Ofte stilte spørsmål

Beslektede artikler