Hvorfor NIS2?
Forgængeren NIS1 dækkede få sektorer og blev håndhævet meget forskelligt fra land til land. NIS2 udvider på alle parametre. Flere sektorer, klarere minimumskrav, skrappere tilsyn og bøder, der kan mærkes. For væsentlige enheder op til 10 mio. EUR eller 2 % af den globale omsætning.
I Danmark er direktivet gennemført ved lov med ikrafttræden i 2025. Tilsynet føres af sektormyndighederne med Center for Cybersikkerhed som omdrejningspunkt.
Hvem loven rammer
NIS2 opdeler i væsentlige og vigtige enheder. Som hovedregel er I omfattet, hvis I opererer i en af direktivets sektorer og har mindst 50 ansatte eller en årsomsætning eller balance over 10 mio. EUR. Nogle aktører er omfattet uanset størrelse, for eksempel DNS-udbydere og enheder, hvor en hændelse kan få væsentlige samfundskonsekvenser.
Sektorerne omfatter blandt andet energi, transport, sundhed, drikke- og spildevand, digital infrastruktur og IT-tjenester herunder managed service providers, offentlig forvaltning, post, affald, fødevarer, fremstilling af kritiske produkter samt forskning.
To ting overrasker næsten altid. Kommuner og offentlige enheder er omfattet som offentlig forvaltning. Og leverandørkæden bliver trukket med ind, så er jeres kunde omfattet, lander kravene hos jer gennem kontrakten, selv om I ikke selv er direkte omfattet.
Kravene i artikel 21
Kernen er minimumsforanstaltningerne i artikel 21. Politikker for risikostyring og informationssikkerhed, hændelseshåndtering, driftskontinuitet og backup, leverandørstyring, sikkerhed i anskaffelse og udvikling, evaluering af foranstaltningernes effekt, cyberhygiejne og awareness-træning, kryptografi, adgangsstyring og multifaktorautentifikation.
Dertil kommer rapporteringspligten ved væsentlige hændelser. Tidlig varsling inden for 24 timer, hændelsesnotifikation inden for 72 timer og endelig rapport inden for en måned.
Og så er der det, der ændrer mest i praksis. Ledelsen skal godkende foranstaltningerne, føre tilsyn med dem og uddannes i cybersikkerhed, og den kan holdes personligt ansvarlig ved forsømmelse.
Start med at finde ud af, om I er omfattet
Afklar først, om og hvordan I er omfattet. Mål derefter afstanden mellem jeres nuværende sikkerhedsniveau og kravene. Læg til sidst en prioriteret handlingsplan med de billigste og mest risikoreducerende tiltag først.
De fleste SMV’er opdager undervejs, at 60 til 70 % af kravene kan løftes med god grundhygiejne. Resten kræver struktur og dokumentation, og det er som regel der, tiden går. En gap-analyse viser afstanden, før I bruger penge på tiltag.