Hvilke krav indeholder NIS 2-direktivet?

NIS 2-direktivet opstiller en række væsentlige krav inden for styring af informationssikkerhed, som de omfattede virksomheder skal iagttage.

Overordnet set er ledelsen ansvarlig for at godkende og efterfølgende føre tilsyn med, at der træffes passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger for at tilsikre et overordnet højt niveau af informationssikkerhed.

Passende tiltag kan blandt andet bestå i:

• Opgradering af it-udstyr og software
• Opgradering af it-infrastruktur og gennemførelse af sårbarhedsanalyser med henblik på identifikation af indsatsområder/forbedringspunkter
• Kortlægning og sikring af aftaler med leverandører
• Udarbejdelse og implementering af retningslinjer for medarbejdere
• Udarbejdelse af politikker for risikostyring m.v.
• Afholdelse af undervisning for ledelse og medarbejdere i cybersikkerhed på et adækvat niveau

Hvilke specifikke tiltag, den enkelte virksomhed skal implementere i henhold til NIS 2-direktivet, skal vurderes ud fra en konkret risikobaseret tilgang, hvori indgår blandt andet virksomhedens aktuelle it-sikkerhedsniveau, europæiske og internationale standarder for it-sikkerhed og gennemførelsesomkostninger, der skal vejes op imod de identificerede risici.

Vurderingen af, hvilke foranstaltninger der er proportionale, afgøres ud fra graden af virksomhedens eksponering, virksomhedens størrelse, sandsynligheden for at hændelser indtræffer og deres alvor, herunder deres potentielle samfundsmæssige og økonomiske påvirkning.

Der er således ikke tale om, at ”one size fits all”, hvis det skal sikres, at omfattede virksomheder opfylder NIS 2-direktivets krav, men samtidig undgår at fejlfortolke krav og dermed foretage ændringer, som ikke er påkrævet (med deraf følgende meromkostninger).

Der kan mellem NIS 2-direktivet og GDPR drages flere paralleller. De omfattede virksomheder skal i henhold til begge regelsæt opfylde it-sikkerhedsmæssige krav, som skal implementeres og afspejles i virksomhedens forretnings- og arbejdsgange. Der er med andre ord tale om et dokumentationskrav til sikkerhedsarbejdet, hvori virksomhederne overfor regulatoriske myndigheder, kunder og samarbejdspartnere skal kunne dokumentere, at risikoen og de implementerede kontroller er proportionelle og afstemt ift. indvirkning på det omkringliggende samfund.

Sikring af overholdelse af GDPR var for mange virksomheder en proces, som viste sig overraskende tidskrævende for virksomhederne selv, og flere virksomheder startede processen for sent i forhold til opgavens omfang sammenholdt med målet om at være compliant med GDPR i forbindelse med GDPR’s ikrafttræden. Ledelsen bør være opmærksom på, at implementering af NIS 2-direktivet tilsvarende GDPR vil være forbundet med en del forberedelse, men også efterfølgende drift, opfølgning og tilpasning.

Ledelsens strategi for implementering af NIS 2-direktivet    

Overordnet set anbefaler vi, at ledelsen snarest muligt udarbejder en strategi for håndteringen af implementeringsarbejdet i relation til NIS 2-direktivet, da omfanget af NIS 2-direktivets krav for flere virksomheder må forventes at medføre, at der venter et væsentligt administrativt og økonomisk ressourcetræk.

På baggrund af NIS 2-dirketivets anvendelsesområde og væsentlige krav til foranstaltninger inden for styring af it-sikkerheden, vil der være behov for, at de omfattede virksomheders ledelse så tidligt som muligt får afklaret, om deres virksomheder er omfattet af NIS 2-direktivet.

En strategi/plan for ledelsen bør i hvert fald omfatte følgende:

• Etablering af overblik over virksomhedens it-landskab
• Gennemførsel af sårbarhedsanalyse
• Afklaring af NIS 2-diretivets krav i forhold til virksomheden
• Fit/gap analyse i relation til ”as-is” og “to-be”
• Afklaring og beslutning om behov for ændringer i it-landskab
• Vedtagelse af interne regler for virksomheden til sikring af NIS 2-direktive compliance
• Vedtagelse af krav i forhold til it-leverandører
• Implementering og løbende kontrol af, at reglerne overholdes
• Sikring af dokumentation for overholdelse af virksomhedens vedtagne regelsæt
• Proces for løbende vedligeholdelse af virksomhedens regelsæt

Som det fremgår oven for, vil det af hensyn til sikring af overholdelse af NIS 2-direktivets minimumskrav være nødvendigt, at ledelsen målrettet kan styre og kontrollere virksomhedens risici ved brug af it, herunder også leverandørstyring. Ledelsen skal derved påse, at den risikovurdering, der udarbejdes, står mål med de aktuelle risici, med henblik på at vurdere hvilke passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger, der skal implementeres.

I første omgang bør ledelsen hurtigst muligt i samarbejde med blandt andet de(n) it-ansvarlige i virksomheden foretage en screening af virksomhedens informationsaktiver, forretningsprocesser og procedurer, som kan danne grundlag for virksomhedens risikovurdering. Screeningen skal skabe det nødvendige overblik over virksomhedens aktuelle sikkerhed i net- og informationssystemer. Herefter foretages en afvejning af det aktuelle risikobillede og minimumskravene i NIS 2-direktivet, så der sikres harmonisering i implementeringsprocessen. Ledelsen skal samtidig sikre, at strategien for risikoniveauet vedligeholdes.  

Vi anbefaler, at alle ledelsesmedlemmer prioriterer arbejdet med NIS 2-direktivet med hensyn til risikoen for individuelt og personligt ledelsesansvar.

Et behov for en fast metode til risikostyring

Hvor databeskyttelsesforordningen regulerer behandlingen af personoplysninger – så regulerer NIS 2, groft sagt, alle de forretningskritiske aktiviteter. Baggrunden herfor er, at NIS 2 er udformet med det formål at reducere de negative konsekvenser for samfundet i forbindelse med cyberaktivitet fra blandt andet statsstøttede kriminelle.

Det er i lyset heraf vores vurdering, at en tilstrækkelig og tidsmæssig implementering af kravene i NIS 2 vil blive afgørende for virksomhedernes konkurrenceevne selv på den korte bane.

Omfanget af et NIS 2-projekt i kombination med kravene til ledelsens styring af virksomhedens informationssikkerhed forudsætter, at afrapporteringen til ledelsen og beslutningsgrundlaget følger en fast metode med henblik på at sikre et tilstrækkeligt niveau uden tilsvarende overimplementering. 

Vi tilbyder – i samarbejde med Instituttet for Cyberrisk

Vi tilbyder derfor i samarbejde med Instituttet for Cyberrisk (IFCR) en trusselsbaseret tilgang til styringen af risikoen. Risikostyring kan forekomme meget komplekst, der findes mange værktøjer og metoder, der forsøger at samle denne kompleksitet. ICFR kan anvende de fleste metoder, men anbefaler en simpel ’no-nonsence’ metode, der lægger vægt på at etablere et strategisk styringsværktøj, der kan etablere kommunikation mellem ledelse, forretningsområder og teknikerne.

Tilgangen bygger på en bredt anerkendt metode for opbygningen af sektorspecifikke trusselsbilleder – trusselsbilleder som udgør grundlaget for det videre arbejde. Dermed reduceres usikkerheden i beslutningerne om, hvilket tiltag der kan og bør implementeres, og hvilket niveau der kan betragtes som tilstrækkeligt for jeres virksomhed. 

Gevinst ved fast metode til risikostyring

En fast metode til risikovurdering giver fem særegne gevinster:

• Evne til at prioritere mellem risici på et oplyst grundlag
• Dokumenterbar efterlevelse af lovkrav til ledelsesansvaret for risikostyring efter såvel GDPR som NIS 2
• Effektivitet, da de enkelte afdelinger kun skal forholde sig til deres eget fagområde
• Gentagelighed, da de faglige kompetencer til at løse specifikke opgaver i risikostyringen kan defineres og afgrænses
• Implementering af metode til risikostyring

Vil du holdes opdateret på nyheder om NIS 2-direktivet?

I vores nyhedsserie om NIS 2-direktivet vil vi løbende opdatere dig på, hvordan den danske lovgivningsproces og implementering af NIS 2-direktivet udvikler sig. Artiklerne vil være målrettet ledelsen i virksomheder inden for de sektorer, der omfattes af NIS 2-direktivet. Vil du sikre, at du får adgang til de kommende artikler om NIS 2-direktivet, kan du tilmelde dig via denne formular.

Har du spørgsmål til, hvordan du håndterer det nye NIS 2-direktiv, er du altid velkommen til at kontakte vores specialister for en uforpligtende drøftelse.