Hur vet vi om verksamheten omfattas av NIS2?
NIS2 behöver inte bli ett tungt dokumentprojekt. Utmaningen är sällan att hitta fler kravlistor, utan att avgöra vad som är viktigast för verksamheten och vem som ska göra vad. Med en tydlig prioritering kan ni börja där riskreduktionen är störst och bygga vidare i en takt som verksamheten klarar av.
Kartlägg sektor, verksamhetens storlek, kritiska tjänster och kopplingar till kunder som omfattas. Även företag som inte träffas direkt kan möta NIS2-liknande krav i samband med avtal och upphandlingar. Dokumentera slutsatsen och vem som har gjort bedömningen.
Lista sedan de system, dataflöden och leverantörer som krävs för att leverera era viktigaste tjänster. Det är svårt att prioritera säkerhet utan att först veta vad verksamheten inte klarar sig utan.
Skriv också ner vilka antaganden och avgränsningar bedömningen bygger på. Om verksamheten går in i en ny sektor, växer, byter leveransmodell eller får ett större ansvar i en kunds kritiska tjänst kan slutsatsen behöva omprövas.
Vilka risker bör vi prioritera först?
Sortera osäkerheter och identifierade luckor i fem områden: styrning, tekniskt grundskydd, incidentförmåga, kontinuitet och leverantörsstyrning. Bedöm varje lucka utifrån sannolikhet, konsekvens och hur snabbt den kan reduceras.
Snabba åtgärder är ofta MFA för alla användare, separata administratörskonton, fungerande patchrutiner, säker backup med testad återläsning och central loggning. Men tekniken behöver en ägare, en rutin och ett bevis på att kontrollen fungerar.
Utgå från verksamhetskonsekvensen när två åtgärder konkurrerar om samma tid och budget. Prioriteringen ska visa vilken tjänst som hotas, hur länge verksamheten kan vara utan den och vilka kunder eller partners som påverkas.
Hur bygger vi en 90-dagarsplan?
Dag 1–30: utse ansvar, bekräfta omfattning, kartlägg kritiska tillgångar och besluta om de största riskerna.
Dag 31–60: täpp till prioriterade teknikluckor och dokumentera incident- och återställningsflöden.
Dag 61–90: öva, följ upp leverantörer och rapportera status till ledningen.
Varje aktivitet ska ha en ansvarig, en deadline och ett tydligt sätt att följa upp resultatet.
Hur visar vi att kontrollerna fungerar?
Följ exempelvis andel användare med MFA, tid från säkerhetsuppdatering till installation, andel kritiska system med verifierad backup, tid till detektion och antal kritiska leverantörer med uppdaterade säkerhetskrav.
Skilj mellan att en kontroll är införd och att den är verifierad. Ett dokumenterat krav på MFA är inte samma sak som en rapport som visar täckningen.
Slutsats
NIS2 blir hanterbart när ni börjar med verksamhetens viktigaste risker och kopplar varje åtgärd till ansvar och uppföljning. Docuware kan hjälpa er att göra efterlevnad hanterbar genom att samla ansvar för drift, Microsoft 365 och dataskydd och omvandla nuläget till en konkret plan som går att genomföra.
