Perfekt udstyret til NIS2-direktivet

Implementering af direktivet (eller den tilsvarende lov) i de berørte virksomheders strukturer er afgørende for at imødekomme de voksende trusler og krav til cybersikkerhed i en netværksbaseret økonomi, undgå sanktioner og sikre konkurrenceevnen.

Pålidelig og effektiv risikostyring og omfattende cybersikkerhedsforanstaltninger er afgørende for dette. Compliance kan kun opnås, hvis virksomheden er i stand til at vurdere og afværge tekniske og operationelle risici.

Følgende NIS2-regler gælder for berørte virksomheder:

• NIS2-direktivet kræver, at virksomheder anvender robuste og omfattende risikobegreber og -praksis.
• Virksomheder er forpligtet til at evaluere effektiviteten af deres risikoforanstaltninger.
• Virksomheder skal også undersøge og overvåge sikkerhedsforanstaltningerne hos tredjepartsleverandører, hvis løsninger de bruger til kritiske tjenester. IT-tjenesteudbydere skal også være forberedt på leverandørrevisioner.
• Virksomheder skal have teknologier og løsninger på plads til at forsvare sig mod sikkerhedshændelser.
• De bør implementere et stærkt og omfattende informationssikkerhedsstyringssystem.
• De skal have en veldefineret strategi og foranstaltninger på plads i tilfælde af sikkerhedshændelser og brud. Krise- og forretningskontinuitetsstyring er påkrævet.
• Virksomheder skal inkludere indkøb, udvikling og vedligeholdelse af IT- og netværksløsninger i deres risikostyring.
• De skal proaktivt rapportere sikkerhedshændelser. Hændelser kan hurtigt og effektivt identificeres og rapporteres ved hjælp af et hændelsesrapporteringssystem.
• Virksomheder skal sørge for kontinuerlig sikkerhedstræning for medarbejdere.
• Sørg også for stærke adgangskontroller, multifaktorautentifikation og kontinuerlig overvågning.

For ``væsentlige`` organisationer foreskriver direktivet økonomiske sanktioner på op til mindst ti millioner euro. For ``vigtige`` organisationer beløber de sig til mindst syv millioner euro. I tilfælde af vellykkede cyberangreb med en virkning, der begrænser forretningen på grund af utilstrækkelig risikostyring i særligt vigtige faciliteter, er virksomhedsledelsen direkte ansvarlig.

De vigtigste sektorer omfatter:

• Energi (el, olie, gas, fjernvarme og -køling samt brint)
• Transport (luft, jernbane, vand og vej)
• Sundhedsvæsen
• Vandforsyning (drikkevand, spildevand)
• Digital infrastruktur (telekommunikation, DNS, TLD, cloud-tjenester, datacentre, udbydere af tillidstjenester)
• Finans (banker, finansmarkedsinfrastruktur)
• Offentlig administration
• Rumfart

Vigtige sektorer inkluderer:

• Digitale udbydere (online markeder, søgemaskiner, sociale netværk)
• Posttjenester
• Affaldshåndtering
• Fødevarer og drikkevarer
• Produktion (medicinsk udstyr, elektronik, maskiner, transport)
• Kemikalier (produktion og distribution)
• Forskning

Berørte virksomheder og organisationer skal nu handle hurtigt og implementere kritiske foranstaltninger vedrørende risikostyring, cybersikkerhed, rapportering og anmeldelsesforpligtelser.

De bør etablere et struktureret sikkerhedsstyringssystem baseret på bedste praksis og standarder. Dette inkluderer at definere sikkerhedspolitikker, procedurer og processer, fremme medarbejdernes sikkerhedsbevidsthed og adfærd gennem træning samt regelmæssigt at gennemgå og opdatere sikkerhedspolitikker.

Følgende områder kræver særligt opgradering:

• Effektiv forebyggelse for at identificere og forhindre sikkerhedshændelser
• 24/7 overvågning af sikkerhed og cyberhygiejne
• Adgangsbeskyttelse for konti og data (identitets- og adgangsstyring)
• Risikostyring og vurderinger af IT-infrastrukturen
• Omfattende krise- og forretningskontinuitetsstyring
• Konstant evaluering af de trufne foranstaltninger
• Medarbejdertræning og bevidstgørelse

Rapportering af sikkerhedshændelser: En tidlig advarsel til den ansvarlige tilsynsmyndighed inden for 24 timer, en mere detaljeret hændelsesrapport efter 72 timer og en endelig rapport inden for en måned er påkrævet.

Ifølge en undersøgelse fra Cybersecurity Ventures skete der et cyberangreb hvert 39. sekund i 2023. Det svarer til mere end 2.200 angreb om dagen, og tendensen er stigende. Digitalisering, netværk, AI og andre faktorer betyder, at risikoen for at blive mål for et angreb hele tiden stiger.

NIS2 er derfor ikke kun et spørgsmål om overholdelse eller endnu en juridisk forpligtelse: Implementering af NIS2-kravene giver dig også mulighed for at omstrukturere din virksomhed med hensyn til cybersikkerhed og gøre den mere konkurrencedygtig. Det vil sige:

• Højere sikkerhedsstandarder og forbedret sikkerhedsniveau
• Mere omfattende beskyttelse
• Et mere sikkert digitalt miljø

Med NIS2-overholdelse viser din virksomhed kunder og partnere, at I tager databeskyttelse alvorligt og er på forkant med sikkerhedsteknologien. Og jo hurtigere I implementerer NIS2-overholdelse, desto hurtigere vil I styrke jeres IT-sikkerhed og kundernes tillid.

Nøglen til dette:

• Forbedret data-kryptering
• Penetrationstests
• Identitets- og adgangsstyring
• Netværkssikkerhed
• Firewalls
• Intrusionsdetektion
• Sikkerhedstræning for medarbejdere

NIS2 giver din virksomhed klare retningslinjer og værdifulde råd om, hvordan I kan styrke jeres cyberforsvar. Vores erfarne NIS2-ekspertteams viser jer den bedste vej til at opnå NIS2-overholdelse.