NIS2-krav: åtgärder, rapporteringskrav, checklista

Vilka som omfattas av NIS2

NIS2 skiljer mellan väsentliga och viktiga entiteter inom ett stort antal sektorer, bland annat energi, transporter, hälso- och sjukvård, digital infrastruktur, avloppsvatten, offentlig förvaltning, posttjänster, avfallshantering, kemikalier, livsmedel och tillverkning. Avgörande är i regel storlek (från 50 anställda eller mer än 10 miljoner euro i årsomsättning och balansomslutning) och sektor; för vissa entiteter gäller NIS2 oberoende av storlek. I Tyskland måste berörda företag registrera sig hos BSI (den federala myndigheten för informationssäkerhet).

Riskhanteringsåtgärder enligt art. 21

Art. 21 i NIS2 kräver lämpliga tekniska, operativa och organisatoriska åtgärder, bland annat:

• Policyer för riskanalys och säkerhet i informationssystem
• Incidenthantering
• Driftskontinuitet, backuphantering, krishantering
• Säkerhet i leveranskedjan
• Säkerhet vid anskaffning, utveckling och underhåll, inklusive hantering av sårbarheter
• Utvärdering av åtgärdernas effektivitet
• Cyberhygien och utbildning, kryptografi, åtkomstkontroll, multifaktorautentisering

Rapporteringskrav: 24 timmar, 72 timmar, en månad

Betydande incidenter ska rapporteras i steg: en tidig varning inom 24 timmar, en incidentanmälan inom 72 timmar med en första bedömning och en slutrapport inom en månad. Det fungerar bara om incidenter upptäcks snabbt och dokumenteras ordentligt – uppgiften för XMfortress Detect.

Ledningens ansvar

Ledningen ska godkänna åtgärderna, övervaka genomförandet och regelbundet delta i utbildningar. Den kan bli ansvarig vid åsidosättande av skyldigheter. Vid överträdelser kan sanktionsavgifter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen (väsentliga entiteter) respektive 7 miljoner euro eller 1,4 % (viktiga entiteter) bli aktuella.

NIS2-checklista: de första stegen

• Utred om ni omfattas och registrera er hos behörig myndighet
• Utse ansvariga, utbilda ledningen
• Bygg upp en tillgångsinventering och håll den aktuell
• Genomför en riskanalys, fastställ en sårbarhetsprocess med tidsfrister
• Inrätta och öva detektering och rapporteringsvägar för incidenter
• Kontrollera och dokumentera åtgärdernas effektivitet regelbundet
• Ta med leverantörer och tjänsteleverantörer i bedömningen

XMfortress stöder det tekniska genomförandet och levererar underlag. Ansvaret för efterlevnaden ligger kvar hos företaget; plattformen ersätter ingen juridisk bedömning.