NIS2-krav: tiltak, rapporteringsplikt, sjekkliste

Hvem som omfattes av NIS2

NIS2 skiller mellom vesentlige og viktige enheter i en rekke sektorer, blant annet energi, transport, helse, digital infrastruktur, avløpsvann, offentlig forvaltning, post, avfall, kjemikalier, næringsmidler og industri. Avgjørende er som regel størrelse (fra 50 ansatte eller mer enn 10 mill. euro i årlig omsetning og balansesum) og sektor; for enkelte enheter gjelder NIS2 uavhengig av størrelse. I Tyskland må berørte virksomheter registrere seg hos BSI (den tyske føderale myndigheten for informasjonssikkerhet).

Risikostyringstiltak etter art. 21

Art. 21 i NIS2 krever egnede tekniske, operative og organisatoriske tiltak, blant annet:

• Retningslinjer for risikoanalyse og sikkerhet i informasjonssystemer
• Håndtering av sikkerhetshendelser
• Kontinuitet i driften, backup-håndtering, krisehåndtering
• Sikkerhet i leverandørkjeden
• Sikkerhet ved anskaffelse, utvikling og vedlikehold, inkludert håndtering av sårbarheter
• Vurdering av tiltakenes effekt
• Cyberhygiene og opplæring, kryptografi, tilgangskontroll, flerfaktorautentisering

Rapporteringsplikt: 24 timer, 72 timer, én måned

Vesentlige sikkerhetshendelser må rapporteres trinnvis: et tidlig varsel innen 24 timer, en hendelsesrapport innen 72 timer med første vurdering og en sluttrapport innen én måned. Det lykkes bare når hendelser oppdages raskt og dokumenteres ryddig – oppgaven til XMfortress Detect.

Ledelsens ansvar

Ledelsen må godkjenne tiltakene, følge opp gjennomføringen og jevnlig delta på opplæring. Den kan holdes ansvarlig ved pliktbrudd. Ved brudd kan det ilegges bøter på inntil 10 mill. euro eller 2 % av den globale årsomsetningen (vesentlige enheter) eller 7 mill. euro eller 1,4 % (viktige enheter).

NIS2-sjekkliste: de første stegene

• Avklare om dere omfattes, og registrere dere hos tilsynsmyndigheten
• Utpeke ansvarlige, gi ledelsen opplæring
• Bygge opp og vedlikeholde et inventar over eiendeler
• Gjennomføre risikoanalyse, fastsette en sårbarhetsprosess med frister
• Etablere og øve på deteksjon og rapporteringsveier for hendelser
• Jevnlig kontrollere og dokumentere tiltakenes effekt
• Ta med leverandører og tjenesteytere i vurderingen

XMfortress støtter den tekniske gjennomføringen og leverer dokumentasjon. Ansvaret for etterlevelse ligger fortsatt hos virksomheten; plattformen erstatter ikke en juridisk vurdering.