Hög tid att rusta verksamheten för NIS2

Säkerhetsläget i Europa och resten av världen är oroligt och oförutsägbart.

Vi ser en kraftig ökning av cyberkriminell aktivitet under 2023. Europa, Mellanöstern och Afrika är hårdast utsatta för så kallade DDoS-attacker, visar Threat Intelligence Report från Netscout. Och det är bara ett exempel.

För att nå en gemensam, hög cybersäkerhetsnivå hos alla medlemsstater har EU tagit fram NIS2, en uppdatering av direktivet NIS från 2016. Direktivet ska i Sverige införlivas genom en ny lag, Cybersäkerhetslagen, som utredningen föreslår ska träda i kraft 1 januari 2025.

– I NIS2 är det fler verksamheter som ska kunna redovisa hur de systematiskt och kontinuerligt arbetar med cybersäkerhet och informationssäkerhet. Här finns också ett större fokus på att verksamhet och leveranser inte ska stanna av vid en cyberattack, säger Carl Lundskog, specialist inom informationssäkerhet på Atea.

I ett större perspektiv handlar NIS2 trots allt om att skydda företag och verksamheter som bidrar till Europas förmåga att fortsätta leverera samhällsviktiga tjänster.

Steg ett, slå fast juridisk tillhörighet

Det senaste året har Carl Lundskog och hans kollegor hjälpt flera verksamheter (privata och offentliga) att kartlägga, analysera och belysa vad som behöver förändras och förstärkas, så de kan leva upp till NIS2-direktivet.

– Det första vi gör är att, tillsammans med kunden, slå fast vilken juridisk entitet de utgör, och om de bedriver väsentlig eller viktig verksamhet. Den här uppdelningen påverkar dels hur höga sanktionsavgifter som verksamheten kan beläggas med vid en revision. Den påverkar också hur åtgärderna viktas i den handlingsplan som överlämnas i slutet av projektet, säger Carl Lundskog.

Kartläggning ger koll på brister

När den juridiska entiteten är fastslagen är nästa steg att kartlägga: nuläge, önskat läge och vad som krävs för att ta sig däremellan.

– Vi genomför en workshop som gör att alla får samma bild av varför, vad, när och hur verksamheten behöver en kartläggning, analys och förslag på förbättringar för att stå väl rustade inför NIS2.

Det som brukar uppskattas allra mest (av Ateas kunder) är att någon av Ateas konsulter beskriver värdet av det förberedande NIS2-arbetet: Hur arbetet går till och vad konsekvenserna kan bli om direktivet inte efterlevs.

– Flera av våra kunder återkommer till detta. Hur viktigt det är att det kommer in en konsult utifrån som med tyngd och erfarenhet beskriver värdet av NIS2-arbetet. Det gör att alla från ledningsgrupp till produktion blir extra motiverade när det är dags för intervjuer och själva arbetet med att stärka säkerheten, säger Carl Lundskog.

Djupintervjuer och tekniska tester

För att på få insikt i hur verksamheten klarar att leva upp till NIS2-direktivet genomför Atea i nästa steg djupintervjuer med medarbetare i olika delar av verksamheten.

För att bli konkret: Om du har en verksamhet med 300 anställda kan det röra sig om sju djupintervjuer. De roller som berörs av intervjuerna kan vara: Ledningsgrupp, drift (operations), it-arkitektur, it-säkerhet, leverans, logistik samt produktion.

– Jag talade med en kund igår som berättade att hon uppskattar att både fokus och frågor under intervjuerna känns väldigt värdefulla, säger Carl Lundskog.

Förslag på åtgärder i handlingsplan

I nästa stag analyserar Atea intervjuerna och summerar förslag på prioriterade åtgärder i en handlingsplan.

Om det förekommer motstridiga svar i intervjuerna (det förekommer!) kompletteras de med tekniska tester för att verifiera vilket svar som stämmer bäst.

I ett sista steg går Atea igenom handlingsplanen med kunden och diskuterar de åtgärder som prioriterats högst.

– I början av projektet kan vissa personer uppleva ett visst motstånd i stil med ”Hjälp, hur ska vi hinna med det här?!”. Men i slutet av projektet brukar de flesta reflektera över det värde som uppstått och säga saker som ”Så skönt, nu har vi koll på vad som fungerar väl och vilka säkerhetsluckor som måste täppas till”, summerar Carl Lundskog.

I det här läget har kunden alltså fått en handlingsplan och en struktur att arbeta efter.

Vad är det största värdet med att ta hjälp för att leva upp till kraven i NIS2?

– En av de största vinsterna är att man får en övergripande samsyn på it-säkerhet, informationssäkerhet och vad som kan hända om man inte täpper till de luckor som finns. Så här i slutskedet finns en stor förståelse hos alla berörda och ledningsgruppen är väl medveten om att de kan ställas till svars (även personligen) om verksamheten inte lever upp till NIS2-kraven.