1. Hvor mye vil dere investere i NIS2?
Å styrke sikkerheten krever både tid og økonomiske investeringer. Til gjengjeld kan det redusere risikoen for sanksjoner – NIS2 åpner for bøter – og alvorlige sikkerhetshendelser. Det kan også gi et konkurransefortrinn, i hvert fall på kort sikt, og ikke minst større trygghet.
2. Avklar om dere er en vesentlig eller viktig virksomhet
Det første dere bør avklare, er om virksomheten omfattes av kategorien vesentlig eller viktig virksomhet. Vesentlige virksomheter opererer i kritiske sektorer der driftsavbrudd kan få store konsekvenser for offentlig sikkerhet, nasjonal sikkerhet eller samfunnets og økonomiens funksjon. Viktige virksomheter kan også rammes av betydelige konsekvenser ved driftsavbrudd, men vanligvis ikke i samme grad. Dette kan være virksomheter i mindre kritiske sektorer eller mindre virksomheter innen kritiske bransjer.
3. Kartlegg leverandørkjeden
NIS2-direktivet legger stor vekt på sikkerhet i leverandørkjeden og risikoen som sårbarheter i sammenkoblede systemer og hos tredjepartsleverandører kan utgjøre. Kartlegg kritiske avhengigheter i leverandørkjeden, og identifiser svake punkter som kan sette sikkerheten i fare.
4. Gå gjennom styringssystemet for informasjonssikkerhet (ISMS)
Undersøk hvordan virksomhetens styringssystem for informasjonssikkerhet (ISMS) fungerer i dag. Vurder blant annet prosessene for risikovurdering, sikkerhetstiltak og kontinuitetsplanlegging. Finnes det vesentlige mangler eller svakheter? Det er viktig å vite hvor sårbarhetene ligger, både for å kunne etterleve kravene og for å forbedre sikkerheten.
Når dere har gjennomført disse innledende vurderingene, kan dere gå videre med den detaljerte NIS2-sjekklisten.
Sjekkliste for NIS2
Denne sjekklisten gir en oversikt over viktige tiltak for å tilpasse virksomheten til de nye kravene i NIS2-direktivet.
1. Avklar om virksomheten omfattes av NIS2
NIS2 deler virksomheter inn i to kategorier – vesentlige og viktige virksomheter – basert på sektor, størrelse og betydning for samfunnet. Finn ut hvilken kategori virksomheten tilhører ved å gå gjennom kriteriene. Det kan for eksempel være relevant om dere opererer i en kritisk sektor som energi, helse eller digital infrastruktur. Sett dere inn i kravene som gjelder for deres kategori. Vesentlige virksomheter har som regel strengere forpliktelser enn viktige virksomheter.
2. Etabler styring og tydelige roller for cybersikkerhet
Utnevn en informasjonssikkerhetsleder (CISO) eller en person med tilsvarende ansvar for å følge opp etterlevelsen av NIS2. Ledelsens involvering er avgjørende, ettersom direktivet tydeliggjør toppledelsens ansvar.
Sørg for at ledelsen deltar aktivt i beslutninger om cybersikkerhet og kjenner ansvaret sitt etter NIS2. Ledelsen bør godkjenne strategiene for risikohåndtering. Etabler en styringsstruktur for cybersikkerhet som tydelig fordeler ansvar for hendelsesrapportering, risikohåndtering og oppfølging av retningslinjer.
3. Gjennomfør en helhetlig risikovurdering
Vurder virksomhetens kritiske informasjonssystemer, nettverk og leverandørkjeder for å identifisere sårbarheter for cybertrusler. Analyser hvordan mulige driftsavbrudd kan påvirke virksomheten, og ta hensyn til både IT- og OT-systemer.
Gjennomfør risikovurderinger minst én gang i året, slik at dere fanger opp nye trusler, endringer i virksomheten og nye produkter eller tjenester. Vurder også hvilke konsekvenser sikkerhetshendelser kan få for virksomheten.
Innfør cybersikkerhetstiltak som står i forhold til risikoen dere har identifisert. Det kan blant annet innebære å sikre tilgangskontroller, overvåke nettverk og kryptere data der det er relevant.
4. Styrk evnen til å oppdage, håndtere og rapportere hendelser
Etabler rutiner og systemer for å oppdage og rapportere hendelser. NIS2 krever at vesentlige cybersikkerhetshendelser rapporteres innen 24 timer etter at de er oppdaget, og at en detaljert rapport sendes innen 72 timer. Sørg for at dere har verktøy og prosesser som gjør det mulig å overholde fristene.
Utarbeid en detaljert plan for hendelseshåndtering. Den bør beskrive hva dere skal gjøre ved en cyberhendelse, inkludert eskalering, skadebegrensning og kommunikasjonsrutiner med kunder i energisektoren. Test og oppdater planen jevnlig, slik at den tar høyde for nye trusler og endringer i regelverket.
Etabler kontakt med relevante nasjonale myndigheter, for eksempel landets responsmiljø for cybersikkerhet (CSIRT), slik at dere kan oppfylle kravene til varsling.
5. Oppdater kontrakter og styr sikkerheten i leverandørkjeden
Sørg for at kontraktene stiller krav til cybersikkerhet. Gå gjennom og oppdater avtalene med leverandørene, slik at de inkluderer sikkerhetskrav i tråd med NIS2. Dette gjelder både digitale og fysiske leverandørkjeder.
Sikkerhet i leverandørkjeden er et sentralt tema i NIS2, særlig for sektorer med kritisk infrastruktur som energi. Energisektoren er avhengig av mange tredjepartsleverandører, blant annet leverandører av operasjonell teknologi (OT), IT-systemer og andre tjenester. Etabler rutiner for å overvåke og håndtere cybersikkerhetsrisiko i leverandørkjeden.
6. Styrk cybersikkerheten og beskytt data
Sørg for at IT-infrastrukturen har solide sikkerhetstiltak, for eksempel kryptering, identitets- og tilgangsstyring og jevnlige sikkerhetsoppdateringer.
Etterlev GDPR og NIS2 ved å sørge for at sensitive kundedata er kryptert både når de lagres, og når de overføres. Del data inn i segmenter for å begrense konsekvensene av et eventuelt datainnbrudd.
7. Gi medarbeiderne opplæring
Lær opp medarbeidere på alle nivåer i hvorfor cybersikkerhet er viktig, hvilken rolle de har i sikkerhetsarbeidet, og hvordan de kan kjenne igjen mulige trusler, som phishing. Sørg også for at ledelsen kjenner sitt særskilte ansvar etter NIS2.
8. Forbered dere på tilsyn og kontroll
Vær forberedt på jevnlige etterlevelseskontroller fra tilsynsmyndigheten i sektoren. Det kan innebære å føre logger, gjennomføre interne revisjoner og ha dokumentasjon som viser at virksomheten etterlever kravene.
Gjør dere kjent med mulige sanksjoner etter NIS2. Manglende etterlevelse kan føre til bøter på opptil 10 millioner euro eller 2 prosent av den globale omsetningen for vesentlige virksomheter.
9. Overvåk og forbedre sikkerheten kontinuerlig
Bruk cybersikkerhetsverktøy som gir overvåking i sanntid og oppdager trusler. Forbedre sikkerhetsarbeidet kontinuerlig ved å ta lærdom av hendelser, revisjoner og endringer i regelverket.
10. Informer kundene
Hvis dere leverer tjenester til energisektoren, må dere sørge for at kundene i sektoren blir informert umiddelbart dersom en hendelse påvirker systemene deres. Gi kundene detaljerte oppdateringer og planer for utbedring innen fristene som er angitt i NIS2.
Konklusjon
For energisektoren handler etterlevelse av NIS2 ikke bare om å oppfylle regulatoriske krav. Det handler også om å beskytte kritisk infrastruktur mot den økende trusselen fra cyberangrep. Sektoren må særlig styrke sikkerheten i leverandørkjeden, hendelseshåndteringen, styringen og arbeidet med kontinuitet i virksomheten.
Når konsekvensene kan være så store, må energisektoren arbeide proaktivt med cybersikkerhet. Virksomhetene må være godt forberedt både på tilsyn og på et trusselbilde i stadig endring.
Les hele guiden til etterlevelse av NIS2