1. Hur mycket är ni beredda att investera i NIS2?
Att stärka säkerheten kräver både tid och ekonomiska investeringar. I gengäld kan det minska risken för sanktioner – NIS2 medger böter – och allvarliga säkerhetsincidenter. Det kan också ge en konkurrensfördel, åtminstone på kort sikt, och framför allt skapa större trygghet.
2. Ta reda på om ni är en väsentlig eller viktig verksamhetsutövare
Den första frågan att reda ut är om organisationen klassas som en väsentlig eller viktig verksamhetsutövare. Väsentliga verksamhetsutövare verkar inom kritiska sektorer där avbrott kan få stor påverkan på den allmänna säkerheten, den nationella säkerheten eller samhällets och ekonomins funktion. Viktiga verksamhetsutövare kan också drabbas av betydande konsekvenser vid avbrott, men vanligtvis inte i samma omfattning. Det kan handla om verksamheter inom mindre kritiska sektorer eller mindre organisationer inom kritiska branscher.
3. Kartlägg leverantörskedjan
NIS2-direktivet lägger stor vikt vid säkerheten i leverantörskedjan och de risker som sårbarheter i sammankopplade system och hos tredjepartsleverantörer kan innebära. Kartlägg de kritiska beroendena i leverantörskedjan och identifiera svaga punkter som kan äventyra säkerheten.
4. Granska ert ledningssystem för informationssäkerhet (ISMS)
Gå igenom hur organisationens ledningssystem för informationssäkerhet (ISMS) fungerar i dag. Utvärdera bland annat processerna för riskbedömning, säkerhetsåtgärder och kontinuitetsplanering. Finns det betydande brister eller svagheter? Det är viktigt att känna till sårbarheterna, både för att kunna uppfylla kraven och förbättra säkerheten.
När ni har genomfört de inledande bedömningarna kan ni gå vidare till den detaljerade NIS2-checklistan.
Checklista för NIS2
Checklistan beskriver viktiga åtgärder för att anpassa organisationen till de nya kraven i NIS2-direktivet.
1. Ta reda på om organisationen omfattas av NIS2
NIS2 delar in verksamhetsutövare i två kategorier – väsentliga och viktiga – utifrån sektor, storlek och betydelse för samhället. Ta reda på vilken kategori organisationen tillhör genom att gå igenom kriterierna. Det kan till exempel vara relevant om ni verkar inom en kritisk sektor som energi, hälso- och sjukvård eller digital infrastruktur. Sätt er in i vilka krav som gäller för er kategori. Väsentliga verksamhetsutövare omfattas vanligtvis av strängare skyldigheter än viktiga verksamhetsutövare.
2. Skapa tydlig styrning och fördela ansvaret för cybersäkerheten
Utse en informationssäkerhetschef (CISO) eller en person med motsvarande ansvar för att följa upp efterlevnaden av NIS2. Ledningens engagemang är avgörande eftersom direktivet tydliggör den högsta ledningens ansvar.
Se till att ledningen deltar aktivt i beslut om cybersäkerhet och känner till sitt ansvar enligt NIS2. Ledningen bör godkänna strategierna för riskhantering. Skapa en styrningsstruktur för cybersäkerhet med tydliga roller och ansvar för incidentrapportering, riskhantering och uppföljning av policyer.
3. Genomför en heltäckande riskbedömning
Utvärdera organisationens kritiska informationssystem, nätverk och leverantörskedjor för att identifiera sårbarheter för cyberhot. Analysera hur eventuella avbrott kan påverka verksamheten och ta hänsyn till både IT- och OT-system.
Genomför riskbedömningar minst en gång om året för att fånga upp nya hot, förändringar i organisationen och nya produkter eller tjänster. Ta också hänsyn till hur säkerhetsincidenter kan påverka verksamheten.
Inför cybersäkerhetsåtgärder som står i proportion till de identifierade riskerna. Det kan till exempel handla om att säkra åtkomstkontroller, övervaka nätverk och kryptera data när det är lämpligt.
4. Förbättra förmågan att upptäcka, hantera och rapportera incidenter
Inför rutiner och system för att upptäcka och rapportera incidenter. NIS2 kräver att betydande cybersäkerhetsincidenter rapporteras inom 24 timmar efter upptäckt och att en detaljerad rapport lämnas inom 72 timmar. Se till att ni har de verktyg och processer som krävs för att hålla tidsfristerna.
Ta fram en detaljerad incidenthanteringsplan som beskriver vilka åtgärder ni ska vidta vid en cyberincident. Den bör omfatta eskaleringsrutiner, begränsning av skador och kommunikationsrutiner med kunder inom energisektorn. Testa och uppdatera planen regelbundet så att den tar hänsyn till nya hot och förändringar i regelverket.
Etablera kontaktvägar till relevanta nationella myndigheter, till exempel landets nationella CSIRT, så att ni kan uppfylla skyldigheterna att rapportera incidenter.
5. Uppdatera avtal och stärk säkerheten i leverantörskedjan
Se till att avtalen innehåller krav på cybersäkerhet. Granska och uppdatera avtal med leverantörer så att de omfattar säkerhetskrav i linje med NIS2. Det gäller både digitala och fysiska leverantörskedjor.
Säkerhet i leverantörskedjan är ett centralt område i NIS2, särskilt för sektorer med kritisk infrastruktur som energisektorn. Energisektorn är beroende av många tredjepartsleverantörer, bland annat leverantörer av operativ teknik (OT), IT-system och andra tjänster. Inför rutiner för att övervaka och hantera cybersäkerhetsrisker i leverantörskedjan.
6. Stärk cybersäkerheten och skydda data
Se till att IT-infrastrukturen har robusta säkerhetsåtgärder, till exempel kryptering, identitets- och åtkomsthantering samt regelbundna säkerhetsuppdateringar.
Följ GDPR och NIS2 genom att se till att känsliga kunduppgifter krypteras både när de lagras och när de överförs. Segmentera data för att begränsa konsekvenserna av eventuella dataintrång.
7. Utbilda medarbetarna
Utbilda medarbetare på alla nivåer om varför cybersäkerhet är viktigt, vilken roll de har i säkerhetsarbetet och hur de kan känna igen möjliga hot, till exempel nätfiske. Se också till att ledningen känner till sitt särskilda ansvar enligt NIS2.
8. Förbered er inför granskningar och tillsyn
Var beredda på regelbundna kontroller från sektorns tillsynsmyndighet. Det kan innebära att föra loggar, genomföra interna revisioner och förbereda dokumentation som visar att organisationen uppfyller kraven.
Ta reda på vilka sanktioner som kan bli aktuella enligt NIS2. Bristande efterlevnad kan leda till böter på upp till 10 miljoner euro eller 2 procent av den globala omsättningen för väsentliga verksamhetsutövare.
9. Övervaka och förbättra säkerheten kontinuerligt
Använd cybersäkerhetsverktyg som möjliggör övervakning i realtid och upptäckt av hot. Förbättra säkerhetsarbetet löpande genom att ta till vara lärdomar från incidenter och revisioner samt förändringar i regelverket.
10. Informera kunderna
Om ni är leverantör till energisektorn ska ni omedelbart informera era kunder inom sektorn om en incident påverkar era system. Ge dem detaljerade uppdateringar och planer för åtgärder inom de tidsramar som anges i NIS2.
Slutsats
För energisektorn handlar efterlevnaden av NIS2 inte bara om att uppfylla regulatoriska krav. Det handlar också om att skydda kritisk infrastruktur mot det växande hotet från cyberattacker. Sektorn behöver särskilt stärka säkerheten i leverantörskedjan, incidenthanteringen, styrningen och kontinuitetsarbetet.
När så mycket står på spel behöver energisektorn arbeta proaktivt med cybersäkerhet. Organisationerna måste vara väl förberedda både på tillsyn och på ett hotlandskap i ständig förändring.
Läs hela guiden om efterlevnad av NIS2