Spørgsmålet hvad er NIS2 handler om cybersikkerhedskrav til bestemte virksomheder og aktiviteter. Arbejdet begynder ofte med to spørgsmål: Er virksomheden omfattet, og hvor findes dens dokumentation? Svarene kræver både en vurdering af virksomhedens aktiviteter og et overblik over dens sikkerhedsarbejde.
NIS2 er et EU-direktiv om cybersikkerhed. Det stiller blandt andet krav til risikostyring og håndtering af sikkerhedshændelser for virksomheder inden for direktivets anvendelsesområde. At en virksomhed bruger digitale systemer, afgør ikke i sig selv, om den er omfattet. Ledelsen bør undersøge virksomhedens aktiviteter og dens rolle i relevante sektorer. En juridisk vurdering kan være nødvendig.
Hvem bør undersøge, om virksomheden er omfattet?
Beskriv, hvad virksomheden leverer, og hvem der afhænger af leverancen. Nogle aktiviteter kan være omfattet, selv om virksomheden ikke umiddelbart opfatter sig som en del af en kritisk sektor. Omvendt betyder brug af it ikke automatisk, at NIS2 gælder. Virksomhedens størrelse, sektor og rolle kan indgå i vurderingen, så lad ikke én oplysning afgøre spørgsmålet.
Notér virksomhedens ydelser, centrale systemer og væsentlige leverandører. Beskriv også, hvilke dele af driften et cyberangreb eller et længerevarende systemnedbrud ville påvirke. Det giver den, der vurderer reglernes anvendelse, et samlet billede af virksomheden. Ved juridisk vurdering kan virksomheden tage oplysningerne med til en relevant rådgiver eller anden ansvarlig med kendskab til reglerne.
En kort introduktion til spørgsmålet hvad er NIS2 findes i BizPerformers ordbog om NIS2. Brug den som indgang til emnet, ikke som en juridisk afgørelse af virksomhedens forpligtelser. En generel forklaring kan hjælpe med at forstå begreberne, mens vurderingen af virksomhedens status afhænger af dens egne forhold.
Hvad betyder efterlevelse for ansvar og dokumentation?
Efterlevelse betyder, at virksomheden arbejder efter de regler og krav, der gælder for den. I NIS2-arbejdet skal det være muligt at vise, hvem der har ansvar, hvordan sikkerhedsopgaver bliver udført, og hvor beslutninger og dokumentation opbevares. Dokumenter er dog ikke i sig selv bevis på efterlevelse. De skal afspejle praksis og opdateres, når arbejdsgange eller ansvar ændres.
Kortlæg arbejdsprocessen fra start til slut. Notér, hvem der godkender adgange, følger op på hændelser og sørger for, at relevante instrukser er tilgængelige. Kontrollér, at den person, der udfører en opgave, har den nødvendige adgang og et tydeligt ansvar. Hvis ingen kan pege på den ansvarlige for en opgave, skal rollefordelingen gennemgås.
Brugeradministration kan understøtte kontrollen. Den bør vise, hvem der har adgang til hvilke systemer, hvem der godkender ændringer, og hvordan adgange fjernes, når en rolle ændres. Aftal også, hvem der gennemgår adgange, og hvor gennemgangen dokumenteres. En platform kan samle oplysninger og arbejdsgange, men virksomheden skal selv fastlægge reglerne for brugerne.
Hvordan kan digitalisering og leverandører indgå?
Digitalisering kan samle arbejdsgange, opgaver og dokumentation. Dermed kan de ansvarlige følge med i, hvad der er udført, og hvad der mangler. Automatisering kan for eksempel håndtere gentagne administrative trin, som at sende en opgave videre eller registrere en ændring. Men automatisering afgør ikke, om virksomheden overholder NIS2. Den udfører den proces, virksomheden har fastlagt.
Beskriv processens formål, godkendelser, undtagelser og ansvarlige roller, inden den automatiseres. Gør det tydeligt, hvem der kontrollerer resultatet, og hvordan fejl håndteres. Hvis processen ændres, skal instrukser og dokumentation følge med. Det er vigtigt, når en automatiseret arbejdsgang påvirker systemadgange eller håndtering af sikkerhedshændelser.
Outsourcing betyder, at virksomheden lader en ekstern leverandør udføre opgaver, som ellers kunne ligge internt. Det kan give adgang til teknisk drift eller særlig faglighed, men flytter ikke automatisk virksomhedens ansvar for egne forpligtelser. Gennemgå derfor leverandørens opgaver, adgange, rapportering og håndtering af hændelser. Aftal også, hvilken dokumentation virksomheden modtager, og hvem der følger op på den. Oplysninger om digitalisering af arbejdsprocesser og IT-ydelser findes på BizPerformers hjemmeside, bizperformer.com.
BizPerformer tilbyder digitalisering af arbejdsprocesser med og uden AI samt brugeradministration, platformhosting, drift og overvågning 24/7, support og sparring. Arbejdet bliver bygget i faser og afstemt med virksomhedens forretning fra start. InfoBridge tilbyder dokumentation og efterlevelse af regler for virksomheder med høje krav. Ydelserne kan understøtte virksomhedens organisering, men afgør ikke juridisk, om den lever op til NIS2.
Hvilke spørgsmål bør virksomheden tage videre?
Ledelsen kan samle de spørgsmål, der kræver svar fra virksomhedens ansvarlige eller juridiske rådgivere. Hvilke aktiviteter leverer virksomheden, og kan de være omfattet? Hvem ejer cybersikkerhedsarbejdet, og hvor ligger den gældende dokumentation? Hvilke systemer og leverandører indgår i de vigtigste arbejdsprocesser?
Gennemgå også brugeradgange og godkendelser. Kan virksomheden se, hvem der har adgang, hvem der har godkendt den, og hvordan ændringer bliver registreret? Hvis en opgave er outsourcet, er det så tydeligt, hvad leverandøren skal udføre, og hvad virksomheden selv skal følge op på? Svarene viser, hvor arbejdsgange mangler ansvar eller dokumentation.
En praktisk rækkefølge er at beskrive virksomhedens aktiviteter, få vurderet, om den er omfattet, udpege ansvarlige og kortlægge de vigtigste processer. Derefter kan virksomheden vurdere, om platforme, automatisering eller rådgivning skal understøtte arbejdet. Hold den juridiske vurdering adskilt fra den tekniske gennemførelse. Systemer kan hjælpe medarbejdere med at udføre og dokumentere deres ansvar.
Spørgsmålet hvad er NIS2 kan ikke besvares endeligt for alle virksomheder med én generel forklaring. Brug informationen til at organisere virksomhedens spørgsmål og dokumenter, og få en relevant vurdering af, hvilke krav der gælder for dens aktiviteter.