NIS 2-implementering

Hvis du ønsker den fulde og detaljerede oversigt med interessenter og output fra de enkelte faser, kan du klikke her. Oversigten bliver tilsendt automatisk inden for få minutter.

De enkelte skridt

Implementering

Ledelsen spiller en stor og central rolle i en succesfuld implementering og efterfølgende drift af NIS 2. Det er derfor essentielt, at ledelsen kender grundigt til NIS 2, får dybt indblik i roller, ansvar og det løbende arbejde i organisationen – også efter NIS 2 er implementeret.

Unitas tilbyder en fokuseret ledelsesintroduktion til NIS 2 for direktion, bestyrelse og anden relevant topledelse. I skal sætte ca. 3 timer af til den. Det er her det hele starter!

Næste skridt i processen fortsætter med en workshop, hvor vi sammen identificerer de udfordringer og barrierer, der skal overvindes på vejen mod efterlevelse af NIS 2. Vi etablerer en fælles forståelse af ledelsens ansvar i forhold til NIS 2 og udarbejder en ledelsesrapport, der indeholder en overordnet plan for resten af forløbet.

Derefter udfører vi en gap-analyse. Vi anvender rammeværket CIS Controls. CIS Controls måler jeres modenhed i forhold til 18 tekniske foranstaltninger, der alle har til formål – som NIS 2 – at nedbringe jeres cyber- og informationssikkerhedsrisiko. Da mange af de 18 foranstaltninger overlapper med de krav, som NIS 2 stiller til jer, vil man kunne få en god indikation af, hvor I er lige nu og de delmål, der skal indfries på vejen. Vi tager dog naturligvis udgangspunkt i, hvad I allerede måtte have i forvejen af relevant dokumentation, ligesom en eventuel nyligt udført CIS Controls-måling eller tilsvarende, vil kunne genbruges i større eller mindre omfang.

En central del af implementeringen af NIS 2 består i er at skabe rammerne for cyber- og informationssikkerhedsindsatsen. Med udgangspunkt i en overordnet cybersikkerhedsstrategi, der forankres i topledelsen, udmønter vi strategien i en informationssikkerhedspolitik baseret på ISO27001, der igen forankres hos ledelsen. På den baggrund udarbejdes en oversigt over de foranstaltninger fra ISO27002, der allerede findes, og som enten skal forbedres eller etableres i organisationen for første gang for at leve op til NIS 2.

Forbedringen og/eller etableringen af foranstaltningerne sker på baggrund af risikovurderinger og mere praktisk ved at udarbejde emnespecifikke politikker. Disse politikker skal ses som ledelsens ordre til den øvrige organisation om ved at følge politikkerne at sikre netop det cyber- og informationssikkerhedsniveau, som ledelsen har fastsat i cybersikkerhedsstrategien og informationssikkerhedspolitikken, og som risikovurderingerne har vist er nødvendigt. Politikkerne kan dog også kaldes standarder, vejledninger, direktiver eller håndbøger, som vi har kaldt dem nedenfor, alt efter jeres måde at kommunikere på.

Politikkerne kan omhandle eksempelvis administration af adgang, fysisk sikring og miljøsikring, styring af aktiver, netværkssikkerhed og backup og skal typisk efterleves af især IT-afdelingen såvel internt som i forhold til IT-leverandører, hvoraf nogle samtidig vil være jeres databehandlere.

Derefter beskriver vi kravene mere enkelt og forståeligt i en letlæselig medarbejderrettet håndbog, der omhandler specifikke områder relateret til de enkelte arbejdsfunktioner i organisationen. Efter omstændighederne kan der yderligere udarbejdes mere målrettede håndbøger eksempelvis Indkøb, HR og Facility.

Dokumentationen er afgørende for efterlevelsen! Når ovenstående er på plads har I etableret et såkaldt ledelsessystem for informationssikkerhed (ISMS). Det er det formelt korrekte navn i en ISO27001-kontekst. ISMS betyder – skåret ind til benet – at ledelsen tager ansvar for og styrer jeres cyber- og informationssikkerhedsindsats, som ledelsen netop skal efter NIS 2.

Drift af ISMS i et årshjul: Da ISMS’et skal revideres og forbedres på baggrund af de løbende risikovurderinger og måske certificeres, nytter det ikke noget, at ISMS’et ligger i Word- og Excel-filer rundt omkring. Det skal samles op i et ISMS-understøttende IT-system (GRC-system) – altså i en IT-løsning. Hvis I allerede har en IT-løsning, tager vi naturligvis udgangspunkt i det.

Har I ikke allerede valgt en IT-løsning, hjælper vi jer med at identificere jeres behov for IT-understøttelse. Vi har således værktøjer som Wired Relations og Cyberday til rådighed, der kan løfte opgaven. Udover NIS 2 kan de fleste GRC-systemer samtidig løse opgaven at dokumentere efterlevelse af andre regelsæt, herunder, men ikke udelukkende, GDPR, PCI DSS, kunders særlige behov, sektorlovgivning mv.

Drift og forbedring

Når dokumentationen er på plads i IT-løsningen, skal organisationen til at efterleve politikker, håndbøger, risikovurdere løbende osv. Ganske ofte vil efterlevelsen betyde, at I skal ændre i jeres normale aktiviteter og arbejdsrutiner. På dette trin kan det være, der er behov for en kulturændring, så ISMS’et ikke blot havner i skuffen, og I bliver sårbare overfor cyberangreb og mulige tilsynsreaktioner, herunder bøder til organisationen og ledelsesmedlemmerne.

Eksempler: Det fremgår af den opdaterede indkøbspolitik, at Indkøb skal sikre, at cyber- og informationssikkerhed indgår som et element i alle IT-kontrakterne, samt at det skal kontrolleres, at IT-leverandørerne reelt efterlever de stillede sikkerhedskrav. Hvis Indkøb på grund af ressourcemangel ikke allerede i dag arbejder med et cyber- og informationssikkerhedsspor, er det klart, at den opdaterede indkøbspolitik betyder, at Indkøb skal justere lidt i nogle af sine processer.

Det kan også være, at jeres passwords skal forbedres i lyset af jeres nye passwordpolitik. Igen kan der være tale om, at en adfærd skal justeres.

Tilretningen af jeres daglige aktiviteter på tværs af organisationen kaldes driftsfasen. I driftsfasen gennemføres som nævnt de foranstaltninger, der er tilvalgt i politikker, håndbøger osv. Målet er at forbedre gennemførelsen af foranstaltningerne baseret på risikovurderinger. Der handles derfor naturligt på eventuelt konstaterede ikke-gennemførte foranstaltninger eller nye risici, som skal håndteres, ved at vurdere, hvad der hindrer gennemførelsen samt eventuelt ved at revidere den politik, der beskriver, hvad der skal gøres. Endelig sikres det, at politikkerne er blevet behørigt kommunikeret til de rette i organisationen.

Vi kan varetage driftsfasen for jer, så I slipper for omkostningen ved en GRC-funktion, og I er sikre på blandt andet, at organisationen bidrager til NIS 2-efterlevelsen, samt at ledelsen løbende modtager den lovpligtige rapportering om jeres cyber – og informationssikkerhedsindsats. Se mere nederst.

Du er i mål!

Efter en succesfuld driftsperiode er du i stand til at dokumentere efterlevelse af NIS 2-kravene, samt justere hvordan du efterlever NIS 2, når den danske NIS 2-lovgivning er på plads.

Hvis det ønskes, kan efterlevelsen søges påvist ved at blive D-mærket. D-mærket er dog ikke en garanti for, at myndighederne også mener, I efterlever NIS 2 til fulde, men blot en indikation heraf. Er ambitionen større end det, eller I vil ISO27001-certificeres, tilrettelægger vi dokumentationen herefter, således en ISO27001-certificering muliggøres.

Hvad så nu – hvem og hvordan skal vores NIS 2 drives fremadrettet?

Efter implementeringen kommer driften som bekendt. Her kan Unitas enten klæde interne medarbejdere på til at varetage årshjulets driftsopgaver, herunder ledelsesrapporteringen, eller I kan vælge at tegne en compliance-as-a-service-aftale med Unitas, hvor vi løbende varetager langt størstedelen af NIS 2-opgaverne. Derved sparer i dyre ansættelser, som historisk har været svære at fastholde.