NIS2-gapanalyse: tjekliste over de 10 krav

Skriv, hvem der har lavet analysen, og hvornår. Gentag den, når noget ændrer sig, fx når I får et nyt system eller en ny leverandør.

Er I i tvivl om, hvorvidt I er omfattet, så tag NIS2-selvtjekket først. Er I leverandør til en omfattet virksomhed, er analysen stadig et godt svar på kundens spørgsmål.

Ledelsen skal godkende sikkerhedstiltagene, føre tilsyn med, at de bliver gennemført, og selv gennemgå cybersikkerhedsuddannelse. Ledelsen kan holdes ansvarlig, hvis kravene ikke overholdes.

Et referat fra et bestyrelsesmøde, hvor tiltagene er godkendt, er det enkleste bevis.

Politikker for risikoanalyse og sikkerhed i jeres net- og informationssystemer (art. 21, stk. 2, litra a). I skal vide, hvad der kan gå galt, og have skrevet ned, hvordan I beskytter jer.

Start med en liste over jeres vigtigste systemer og de tre ting, der ville ramme hårdest. Det er en risikoanalyse.

Procedurer for at opdage, håndtere og indberette hændelser (art. 21, stk. 2, litra b). Væsentlige hændelser skal indberettes inden 24 timer, 72 timer og en måned (art. 23).

Brug skabelonen til NIS2-hændelsesrapport, og udfyld kontaktpersonen nu, før I får brug for den.

Driftskontinuitet, fx backup, reetablering efter nedbrud og krisestyring (art. 21, stk. 2, litra c). I skal kunne komme på benene igen, og I skal vide, hvor lang tid det tager.

En backup, der aldrig er testet, kan I ikke regne med. Prøv at gendanne, og skriv ned, hvor lang tid det tog.

Sikkerhed i forholdet til jeres direkte leverandører og tjenesteudbydere (art. 21, stk. 2, litra d). I skal vurdere deres sikkerhedspraksis (art. 21, stk. 3).

Lav en liste over leverandører med adgang til jeres systemer eller data. Dem skal I stille krav til først.

Sikkerhed, når I køber, udvikler og vedligeholder systemer, herunder håndtering af sårbarheder (art. 21, stk. 2, litra e). Det handler i praksis om opdateringer og krav til nye systemer.

Slå automatiske opdateringer til, hvor det kan lade sig gøre, og notér de systemer, hvor det ikke kan.

Politikker og procedurer for at vurdere, om jeres sikkerhedstiltag er effektive (art. 21, stk. 2, litra f). Det er ikke nok at have tiltagene. I skal også tjekke, at de virker.

Gentag denne gapanalyse én gang om året, og gem den gamle. Forskellen er jeres dokumentation.

Grundlæggende cyberhygiejnepraksis og cybersikkerhedsuddannelse (art. 21, stk. 2, litra g). Medarbejderne skal kunne genkende phishing og vide, hvad de gør, når noget ser forkert ud.

Forskningen peger på korte moduler gentaget over året frem for ét årligt kursus (Reinheimer m.fl. 2020, Ho m.fl. 2025). Gem dokumentation for, hvem der er trænet, og hvornår.

Politikker og procedurer for brug af kryptografi og, hvor det er relevant, kryptering (art. 21, stk. 2, litra h). Bærbare, telefoner og backup er de oplagte steder at starte.

Tjek, at alle bærbare har krypteret disk. En stjålet bærbar uden kryptering er også et brud på persondatasikkerheden.

Personalesikkerhed, politikker for adgangsstyring og forvaltning af aktiver (art. 21, stk. 2, litra i). Medarbejdere skal kun have adgang til det, de har brug for, og I skal vide, hvilket udstyr og hvilke systemer I har.

Tænk særligt på, hvad der sker, når nogen stopper. Lav en fast tjekliste for at lukke adgange samme dag.

Multifaktorgodkendelse eller løbende godkendelse, sikret tale-, video- og tekstkommunikation og sikrede nødkommunikationssystemer, hvor det er relevant (art. 21, stk. 2, litra j).

Start med MFA på mail og fjernadgang, fordi det er dér, stjålne adgangskoder bliver brugt. Aftal også, hvordan I taler sammen, hvis mail og Teams er nede.