Vad bör du veta om de tio åtgärderna i NIS2?
NIS2-direktivet beskriver tio typer av åtgärder genom vilka organisationer kan demonstrera sin digitala säkerhet. Det handlar inte om tio separata regler som du måste bocka av en efter en, utan om tio områden där en organisation bör ha policyer och rutiner. Många köpare övertar dessa områden bokstavligt i sina cybersäkerhetsfrågelistor, eftersom de i sin tur måste kunna visa att deras leverantörer gör något åt detta.
Huruvida direktivet direkt gäller din organisation beror på vilken sektor du är verksam i och din storlek. Många mindre företag omfattas inte direkt av NIS2, men får ändå frågorna vidarebefordrade eftersom deras kund är det, och kedjan måste ställa frågorna vidare. Precis denna skillnad mellan att direkt omfattas av direktivet och att vara del av någon annans ansvar är där mycket förvirring uppstår.
Vad handlar de tio områdena om
Direktivet nämner bland annat riskanalys och policy för informationssäkerhet, hantering av incidenter, affärskontinuitet och krishantering vid ett driftavbrott, och säkerhet i leverantörskedjan. Dessutom nämner den säkerhet vid upphandling, utveckling och underhåll av nätverks- och informationssystem, policy för att bedöma effektiviteten av åtgärder, och grundläggande metoder för cyberhygien och medvetenhetstraining för anställda. De sista områdena handlar om policy för användning av kryptografi och kryptering, personalsäkerhet och åtkomstpolicy, hantering av företagstillgångar, och användning av multifaktorautentisering eller motsvarande lösningar för säker kommunikation.
Det är viktigt att se att dessa är policyområden, inte en checklista med ett enda rätt svar. Ett installationsföretag med tio anställda kommer förmodligen att ge ett annat, enklare svar på var och en av dessa områden än en IT-tjänsteleverantör med hundra anställda. Tillsynsmyndigheter ser då på om åtgärderna passar de risker som är förknippade med organisationen, inte på en fast mall som är densamma för alla.
Varför din kund frågar om detta
Om din köpare omfattas av NIS2, måste den köparen kunna visa att även hans leverantörer ägnar uppmärksamhet åt dessa områden. Därför går frågelistor ofta bokstavligt igenom de tio områdena: har du en incidentprocedur, använder du multifaktorautentisering, har du policy för dina leverantörer. För dig som mottagare av frågelistan innebär detta ofta att samma tio ämnen återkommer med något olika formulering från varje kund som skickar listan.
Det är också omedelbar det största praktiska problemet: inte innehållet i frågorna, utan upprepningen. Samma information om din lösenordspolicy, din säkerhetskopieringsprocedur och din incidenthantering efterfrågas i tio olika format, med tio olika portaler. Supplia är byggd för att minska detta upprepningsarbete: du besvarar dessa ämnen en gång i din egen kedjedossier, och systemet känner igen likartade frågor i listan från varje ny kund. Du bekräftar själv varje svar med ja eller nej innan det skickas till din klients portal; Supplia bedömer ingenting och loggar aldrig in på egen hand.
Hur du gör detta hanterbart för dig själv
Det hjälper att inte börja med de tio områdena själva, utan med vad du redan har: en lösenordspolicy, ett säkerhetskopieringsschema, en lista över vem som har åtkomst till vilka system. Många av dessa dokument finns redan, men ligger utspridda över mappar och huvuden. Att organisera dem är ofta mer arbete än att faktiskt implementera nya åtgärder. förklaringen per ämne i kunskapsbanken går igenom de tio områdena en efter en med vad som är förknippat med dem.
Om du snabbt vill veta vilket av dessa områden som redan verkar lösta i din situation och vilka som behöver uppmärksamhet, ger igenkänningskontroll i ett par frågor till en första indikation. För den som vill veta varifrån informationen på Supplia kommer och hur den hanteras, förklarar sidan om vår arbetssätt det detta.
Huruvida NIS2 är tillämpligt i ditt specifika fall och vilka åtgärder som då är lämpliga är något som du bäst diskuterar med en jurist eller den behörig tillsynsmyndighet. Denna artikel beskriver direktivet i allmänna termer och ersätter inte denna rådgivning.
Känner du igen de frågor som din kund skickar, men vill du först se hur ifyllningen fungerar i praktiken? Läs vanliga frågor om ifyllning och inlämning eller starta den kostnadsfria snabbscanningen för att se vilka områden som är relevanta för ditt företag.