NIS2 – samsvar
Formålet med NIS2-direktivet er å øke motstandsdyktigheten i nettverks- og informasjonssystemer til både private og offentlige aktører som opererer i relevante sektorer i EU.
NIS2 virkeområde
De 2 kategoriene for enheter som blir påvirket (vesentlige og viktige) underlegges forskjellige tilsynsregimer og påvirkes også av størrelse. De 2 størrelsesgrupper vil få forskjellige bøter/straff dersom reglene brytes. (Unntak – også mindre virksomheter som anses for å ha en nøkkelrolle for samfunnet, økonomien eller en viss sektor, omfattes av NIS2.)
Vesentlige
Energi
Transport
Bank
Finansmarkeds infrastrukturer
Helse
Drikkevann
Avløpsvann
Digital infrastruktur
IKT-tjenester
Offentlig forvaltning (sentral og regional)
Romvirksomhet
Viktige
Post – og kurertjenester
Avfallshåndtering
Produksjon og distribusjon av kjemikalier
Matproduksjon
Produksjon av visse varer (medisinsk utstyr, IKT-utstyr, kjøretøy, elektronikk, maskiner, transportutstyr)
Tilbydere av digitale tjenester
Forskning
Betydelig størrelse: 250 ansatte og omsetning over €50 mill.
Viktig størrelse: 5-250 ansatte og omsetning over €10 mill.
Hva er NIS2-kravene?
10 konkrete minimumskrav for sikkerhet – NIS2 art. 21 (2)
|
Krav |
Beskrivelse |
|---|---|
|
(a) Risikoanalyse og sikkerhetspolicyer |
Vurderingen bør omfatte både ytre og indre trusler, tekniske og organisatoriske sårbarheter, samt mulige konsekvenser for virksomheten og samfunnet ved bortfall av tjenester. |
|
(b) Hendelseshåndtering |
Virksomheter skal ha etablerte og dokumenterte planer for håndtering av sikkerhetshendelser. Formålet er å sikre at organisasjonen raskt og effektivt kan identifisere, håndtere og begrense konsekvensene av digitale angrep og alvorlige sikkerhetsbrudd. |
|
(c) Beredskap |
Virksomheter må ha en klar og tydelig beredskapsplan som omfatter hvordan man skal håndtere alvorlige avbrudd, for eksempel forårsaket av cyberangrep, naturkatastrofer eller tekniske feil som påvirker datasentre, nettverk eller andre kritiske systemer. |
|
(d) Leverandørkjedesikkerhet |
Leverandørkjeder er både kritiske og sårbare. I dag er disse kjeder ofte komplekse og lange, og virksomheter er avhengige av at de fungerer effektivt – gjerne i sanntid. Derfor må også leverandørene som er avgjørende for driften oppfylle relevante sikkerhetskrav. Typiske eksempler på dette er ved utsourcing av tjenester eller bruk av skyløsninger og programvare levert som tjeneste (SaaS). For å etterleve kravet må virksomheten etablere klare krav og kontroller i avtaler, og den må jevnlig følge opp og vurdere sikkerhetsnivået hos leverandørene. |
|
(e) Sikkerhet ved anskaffelser, utvikling og vedlikehold |
Bestemmelsen krever at innkjøp, utvikling og vedlikehold av nettverks- og informasjonssystemer integrerer informasjonssikkerhet fra start og gjennom hele systemets livssyklus. Dette betyr at man må planlegge anskaffelser og utvikling nøye, og stille klare sikkerhetskrav før avtaler inngås. Vedlikeholdet må også sikre at sikkerheten opprettholdes over tid. I praksis bør vedlikeholdsavtaler være på plass før anskaffelse eller utvikling igangsettes. En slik helhetlig tilnærming gir ikke bare bedre sikkerhet, men fører som regel også til det beste kommersielle resultatet, siden leverandøren da ofte vil være i en konkurransesituasjon. |
|
(f) Cybersikkerhetsstyring, prosedyrer og vurdering av effektivitet |
Virksomheter som påvirkes av NIS2 må opprette formelle styringssystemer og prosedyrer for cybersikkerhet. Dette skal bidra til å vurdere effekten av sikkerhetstiltakene. Prosessen vil tvinge virksomheten til å reflektere over hvordan de håndterer sikkerhet, samtidig som de dokumenterer arbeidet som blir gjort. |
|
(g) Cyberhygiene og opplæring |
I forordningen til NIS2 nevnes følgende eksempler på grunnleggende sikkerhetstiltak:
Virksomheter må dessuten vurdere sine egne cybersikkerhetsevner og sikkerhetsteknologier, inkludert bruk av kunstig intelligens og maskinlæring, for å styrke sikkerheten i nettverk og informasjonssystemer. |
|
(h) Rutiner for kryptering og databeskyttelse |
Større virksomheter bør innføre klare rutiner og prosedyrer for bruk av kryptografi og kryptering. Dette arbeidet vil øke bevisstheten rundt sikkerhetsbehov, både når det gjelder å stille krav og velge riktige løsninger. Hvordan rutinene utformes, avhenger av resultatene fra risikovurderingen. |
|
(i) Styring og administrasjon eiendeler, personell og tilganger |
Menneskelige feil er en av de største årsakene til sikkerhetsbrudd. Hele 95 % av sikkerhetsbruddene involverer menneskelige feil, som innsidetrusler, feil bruk av påloggingsdetaljer og brukerrelaterte tabber. De fleste av disse skyldes manglende kunnskap eller uoppmerksomhet. For å ha sikre systemer må man vite hva man har av eiendeler (aktiva) og hvilke tilganger disse har. |
|
(h) MFA og sikker kommunikasjon |
Virksomhetene skal ha:
|
Hvordan sikre samsvar?
|
Krav |
Mulige tiltak |
|---|---|
|
(a) Risikoanalyse og sikkerhetspolicyer |
Benytt anerkjente rammeverk som: Dokumenter sikkerhetsmål, roller, ansvar og styringsstrukturer. Innhent og bruk trusselvurderinger fra NorCERT, ENISA og/eller egne tjenesteleverandører. Etabler rutiner for å revidere og oppdatere sikkerhetsrutiner ved vesentlige endringer i trusselbildet. Sørg for ledelsesforankring og godkjenning av rutiner og risikovurderinger. |
|
(b) Hendelseshåndtering |
|
|
(c) Beredskap |
Utarbeid og vedlikehold planer for forretningskontinuitet og gjenoppretting, med klart definerte roller og prosesser. Test planene jevnlig gjennom simulerte scenarioer, som for eksempel løsepengeangrep eller tap av sentrale dataressurser. Det betyr å holde regelmessige øvelser. Sikre sikkerhetskopier offline og implementer uforanderlighet («immutability»), beskyttet med flerfaktorautentisering (MFA). Sørg for at det finnes backup-løsninger eller alternative systemer i kritisk infrastruktur, inkludert strøm, nettverk og tjenester. Gjennomfør regelmessige revisjoner av gjenopprettingsprosessene. |
|
(d) Leverandørkjedesikkerhet |
Kartlegg og klassifiser alle kritiske leverandører, for eksempel innen drift, IaaS (Infrastructure as a Service), maskinvare og programvare. Inkluder tydelige sikkerhetskrav i avtalene, med referanser til anerkjente standarder. Still også krav om regelmessige revisjoner, sikkerhetssertifiseringer og rapporter – som for eksempel SOC 2 Type II eller tilsvarende – både i avtaler og ved anskaffelser. |
|
(e) Sikkerhet ved anskaffelser, utvikling og vedlikehold |
|
|
(f) Cybersikkerhetsstyring, prosedyrer og vurdering av effektivitet |
|
|
(g) Cyberhygiene og opplæring |
Implementer sterke sikkerhetstiltak, som:
Bruk konfigurasjonsverktøy og automasjon, for eksempel:
Følg prinsippene for «security by design» og «security by default» i alle leveranser. Verifiser og valider alle komponenter før de tas i bruk. |
|
(h) Rutiner for kryptering og databeskyttelse |
Utarbeide rutine med prosedyre for kryptering. Hente inn bistand fra spesialister. Bruke sikre nøkkelhåndteringssystemer, fortrinnsvis HSM (Hardware Security Modules). |
|
(i) Styring og administrasjon eiendeler, personell og tilganger |
|
|
(h) MFA og sikker kommunikasjon |
|
Hva er målet med dette kravet?
|
Krav |
Mål |
|---|---|
|
(a) Risikoanalyse og sikkerhetspolicyer |
Sikre at virksomheten har et oppdatert risikobilde og et dokumentert styringssystem for informasjonssikkerhet. |
|
(b) Hendelseshåndtering |
|
|
(c) Beredskap |
Sikre at virksomheten raskt kan gjenoppta tjenester og beskytte kritisk informasjon ved hendelser som truer driften. |
|
(d) Leverandørkjedesikkerhet |
|
|
(e) Sikkerhet ved anskaffelser, utvikling og vedlikehold |
|
|
(f) Cybersikkerhetsstyring, prosedyrer og vurdering av effektivitet |
|
|
(g) Cyberhygiene og opplæring |
|
|
(h) Rutiner for kryptering og databeskyttelse |
|
|
(i) Styring og administrasjon eiendeler, personell og tilganger |
|
|
(h) MFA og sikker kommunikasjon |
|
NIST Cyber Security Framework
IDENTIFISER
Få oversikt over kritiske forretningsprosesser, enheter og SaaS tilknyttet systemet, sensitive opplysninger, og såbarheter.
BESKYTT
Administrer tilgangsrettigheter, lær opp de ansatte om datasikkerhet, beskytt nettverket, endepunkter og sensitive opplysninger, bruk kryptering på enheter og e-post, automatiser oppdateringer, og etabler backup-rutiner.
OPPDAG
Bruk sikkerhetsrutiner slik som overvåking av nettverket og systemer, opplæring om datasikkerhet, og aktiv trusseljakt.
TA GREP
Planlegg og bli forberedt for et dataangrep.
GJENOPPRETT
Sikre kontinuitet i bedriften med backup og gjenopprettelse som er pålitelig, rask, enkelt å bruke, og uavhengig av SaaS-leverandører.
REGELVERK OG SAMSVAR
Organisasjonens strategi, forventninger og policy for styring av cybersikkerhetsrisiko blir etablert, kommunisert og overvåket.
Hvilken sikkerhetsløsning kan hjelpe?
NIS2-krav
Løsning
(a) Risikoanalyse og sikkerhetspolicyer
(b) Hendelseshåndtering
(c) Beredskap
(d) Leverandørkjedesikkerhet
(e) Sikkerhet ved anskaffelser, utvikling og vedlikehold
(f) Cybersikkerhetsstyring, prosedyrer og vurdering av effektivitet
(g) Cyberhygiene og opplæring
(h) Rutiner for kryptering og databeskyttelse
(i) Styring og administrasjon eiendeler, personell og tilganger
(h) MFA og sikker kommunikasjon
Sikkerhetsrammeverk som gjelder alle
Rammeverket inneholder en veiledende anbefaling av hva slags sikkerhetstiltak kundebedriften bør implementere for å beskytte sine systemer og en ferdig utarbeidet generell og enhetsbasert sikkerhetspolicy.
Kontakt oss
Åpningstider
Mandag – Fredag: 08.00 – 16.00
Send oss gjerne en melding ved å fylle ut kontaktsskjemaet, så kontakter vi deg så fort vi er ledige.
