NIS2 & Risk Management: Er cyberrisici virkelig håndterbare?

NIS2 har til formål at beskytte netværks- og informationssystemer, deres brugere og andre personer i EU mod cybertrusler. Dette omfatter alle omstændigheder, begivenheder eller handlinger, der påvirker tilgængeligheden, autenticiteten, integriteten og/eller fortroligheden af data og tjenester. Dette er de sikkerhedsmål, der forfølges med NIS2-direktivet.

Jo mere profileret en virksomhed er, jo større er sandsynligheden for, at den bliver angrebet. Angriberne når i stigende grad deres egentlige ofre via forsyningskæden. Af denne gode grund fokuserer NIS2 ud over sektorreferencen og de nu betydeligt lavere ”threasholds” for antal ansatte og årlig omsætning eller årlig balance nu også på forsyningskæden. NIS2 ser på påvirkningen af en cybertrussel og tillader kun minimal forringelse af de fire nævnte sikkerhedsmål.

Følgende nøglespørgsmål bør besvares for at sikre effektiv risikostyring i overensstemmelse med NIS2:

• Er der taget højde for alle anvendte netværks- og informationssystemer i risikoanalysen?
• Er der en eksplicit henvisning til alle fire sikkerhedsmål?
• Er forsyningskædens indflydelse tilstrækkeligt gennemgået?
• Er der defineret robuste risiko accept kriterier, som er forstået af forskellige personer og fører til sammenlignelige resultater?
• Er det sikret, at forringelser af de fire sikkerhedsmål ved afslutningen af risikostyringsprocessen er begrænset til et rimeligt forsvarligt niveau?
• Adresserer risikoanalysen kontekstrelaterede og faktisk relevante cybertrusler i stedet for generelle trusselslister?
• Er risikostyringen styret af centrale specifikationer fra en retningslinje eller et direktiv?
• Bliver identificerede risici og deres kilder regelmæssigt revuderet?
• Er foranstaltningerne til håndtering af eksisterende risici allerede operationelt registreret, og har de den tilsigtede effekt?
• Kan effektiviteten af de implementerede kontrolforanstaltninger dokumenteres på en forståelig måde?
• Omfatter sådanne beviser eksplicit alle involverede processer?
• Bliver det aktuelle tekniske niveau konsekvent overholdt under implementeringen?

Hvis du kan besvare alle disse spørgsmål med et klart ja for din organisation, er du en af de få heldige, der allerede er godt forberedt på NIS2! Men hvis der er tvivl eller usikkerhed, vil du sandsynligvis have brug for specialistassistance. I dette tilfælde kan SITS' NIS2-vurdering hjælpe.

Som en del af NIS2-direktivet står sikkerhedscheferne over for en masse nye ord, som de skal vænne sig til. Processer forstås nu som "cybersikkerhedspraksis". Foranstaltninger bruges til gengæld til "cybersikkerhedshygiejne".

Ud over risikostyring kræver NIS2-kompliant processer også beredskabsplan, ”incident management”, styring af ”supply chain” og personaleledelse, der er rettet mod NIS2. Medarbejderne skal også udtrykkeligt gøres opmærksomme på cybersikkerhed. Det gælder både ledere og ledende medarbejdere.

Foranstaltningerne er til gengæld primært rettet mod at forhindre datatyveri. Der kræves foranstaltninger til sårbarheds- og patch management, password management, systemhærdning, netværkssegmentering, databackup og forebyggelse af trusler mod den fysiske sikkerhed samt internet og energiforsyning. Man skal være forberedt på menneskelige og tekniske fejl og være i stand til at genkende og om muligt afværge ondsindede angreb.

Kort sagt: I forbindelse med cybersikkerhed er der meget arbejde, der skal gøres af de sikkerhedsansvarlige og de berørte afdelinger, og det skal gøres inden for en kort implementeringsperiode. Og hvis en organisation ikke gør det, eller ikke gør det fuldstændigt eller præcist nok, kan den blive udsat for betydeligt administrative sanktioner mere omfattende end under de tidligere retningslinjer og under visse omstændigheder endda afskedigelse af medlemmer af dens bestyrelse.

Og hvad mere er: Nationale lovgivere i EU kan stramme disse regler yderligere som en del af deres nationale implementering.

På den ene side omfatter NIS2 derfor institutioner, som nu er direkte adresseret på grund af deres sektortilknytning. Det er en udfordring at tjekke, om dette er tilfældet. Vi har udarbejdet et online-tjek til dig, som giver dig de relevante oplysninger. På den anden side dækker NIS2 også anlæg, der fungerer som en del af forsyningskæden. Og igen, uanset deres størrelse. Optimistiske skøn antager, at der er tale om mindst en faktor 10 for nyligt forpligtede organisationer og virksomheder. Virkeligheden vil sandsynligvis være betydeligt højere.