...
NIS2-direktivet stiller krav til jeres cybersikkerhed. Krav om risikostyring, krav om dokumentation, krav om leverandørstyring. Og ledelsen hæfter personligt.
Spørgsmålet er ikke, om I skal gøre noget. Spørgsmålet er, hvad I mangler, og hvor I skal starte.
En NIS2-audit giver jer svaret.
NIS2 er EU's direktiv for cybersikkerhed i væsentlige og vigtige sektorer. Danmark har implementeret direktivet, og det stiller konkrete krav til jeres virksomhed:
Risikostyring: I skal have styr på jeres risikobillede og træffe passende sikkerhedsforanstaltninger. Læs mere om sikkerhedsmodenhedsvurdering.
Håndtering af sikkerhedshændelser: I skal kunne opdage, håndtere og rapportere sikkerhedshændelser inden for stramme tidsfrister.
Forretningskontinuitet: I skal kunne opretholde drift under og efter et angreb. Det inkluderer backup, gendannelse og krisestyring.
Leverandørstyring: I er ansvarlige for sikkerheden i hele jeres forsyningskæde. Jeres leverandørers sikkerhed er jeres problem. Læs mere om leverandøraudit.
Ledelsesansvar: Ledelsen skal godkende sikkerhedsforanstaltninger og kan holdes personligt ansvarlig ved manglende efterlevelse.
Det er ikke længere noget, I kan overlade til IT-afdelingen alene.
En NIS2-audit er en systematisk gennemgang af, hvordan jeres nuværende sikkerhed matcher direktivets krav.
Jeg kigger på, hvad I allerede har på plads, hvor I har huller, og hvad der skal til for at lukke dem. Ikke en teoretisk øvelse, men en praktisk vurdering af jeres reelle parathed.
NIS2 rammer bredere end de fleste tror. Direktivet omfatter væsentlige og vigtige enheder i en række sektorer:
Væsentlige enheder: Energi, transport, sundhed, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning, rummet.
Vigtige enheder: Post og kurértjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling af medicinsk udstyr, elektronik, maskiner, motorkøretøjer, digitale udbydere.
Også virksomheder uden for disse sektorer kan være omfattet, hvis de leverer kritiske tjenester til nogen, der er.
Er I i tvivl om, hvorvidt NIS2 gælder for jer, kan vi afklare det i en indledende samtale.
NIS2 stiller krav om leverandørstyring. Det betyder, at I skal vurdere og dokumentere sikkerheden hos de leverandører, I er afhængige af.
Det har to konsekvenser:
Hvis I er omfattet af NIS2: I skal stille krav til jeres leverandører og kunne dokumentere, at I har gjort det. En leverandør med dårlig sikkerhed er jeres risiko.
Hvis I leverer til NIS2-virksomheder: Jeres kunder kommer til at stille krav. De vil have dokumentation for jeres sikkerhed. En NIS2-audit giver jer den dokumentation og viser, at I tager det alvorligt.
Læs mere om leverandøraudit.
NIS2 placerer ansvaret for cybersikkerhed hos ledelsen. Ikke IT-chefen, ikke den eksterne leverandør. Ledelsen.
Ved manglende efterlevelse kan ledelsen holdes personligt ansvarlig. Det er ikke længere nok at sige "det var IT's ansvar".
En NIS2-audit giver ledelsen det overblik, de har brug for, til at træffe beslutninger og dokumentere, at de har løftet ansvaret.
For nogle brancher er NIS2's krav velkendte. Finanssektoren og kritisk infrastruktur har i årevis arbejdet med strenge sikkerhedskrav, tilsyn og dokumentation.
Finanssektoren: Danske Bank og EDC, hvor sikkerhed, compliance og dokumentation altid har været en del af hverdagen.
Kritisk infrastruktur og forsyning: Organisationer, hvor et sikkerhedsbrud kan ramme tusindvis af mennesker. Fortrolighed er en naturlig del af arbejdet her.
Offentlige myndigheder: Styrelser med ansvar for borgernes data og samfundskritiske systemer. Miljøstyrelsen er blandt mine referencer.
Den erfaring betyder, at jeg ved, hvordan krav omsættes til praksis. Ikke kun hvad I skal, men hvordan I kommer derhen.
En NIS2-audit vurderer jeres parathed mod kravene. Hvis I også vil teste, om jeres forsvar holder i praksis, kan I supplere med:
Ring på 70 13 63 23 eller udfyld formularen.
Så tager vi en snak om, hvor I står, og hvad en audit kan give jer.
