NIS2 i Danmark — hvem er omfattet, og hvordan forbereder man sig til revisionen

Hvad NIS2 er, og hvordan det gælder i Danmark

NIS2 (Network and Information Security Directive 2, direktiv (EU) 2022/2555) er EU’s reviderede regelsæt for cybersikkerhed. Det afløser det oprindelige NIS-direktiv fra 2016 og udvider både anvendelsesområdet og kravene markant. Målet er at hæve det fælles cybersikkerhedsniveau i EU ved at stille ensartede krav til risikostyring, hændelseshåndtering og ledelsesansvar på tværs af kritiske og vigtige sektorer.

I modsætning til en forordning (som DORA) er NIS2 et direktiv. Det betyder, at det ikke gælder direkte, men skal gennemføres i dansk ret via national lovgivning om cybersikkerhed. Den nationale gennemførelse fastlægger de danske tilsynsmyndigheder, registreringspligter og sanktioner. Virksomheden bør derfor forholde sig både til direktivets krav og til den konkrete danske gennemførelseslovgivning på sit område.

For finansielle virksomheder er det vigtigt at bemærke, at DORA (forordning (EU) 2022/2554) som hovedregel har forrang på IKT-området som lex specialis. En bank vil derfor typisk være reguleret af DORA frem for NIS2 for så vidt angår digital operationel modstandsdygtighed, selv om koncernen kan have andre enheder, der falder under NIS2.

Væsentlige vs. vigtige enheder

NIS2 inddeler de omfattede organisationer i to kategorier: væsentlige enheder (essential entities) og vigtige enheder (important entities). Sondringen er central, fordi den bestemmer, hvor intensivt tilsynet er, og hvor store bøder der kan komme på tale.

Væsentlige enheder er underlagt et proaktivt tilsyn, hvor myndighederne kan gennemføre inspektioner og audits uden forudgående mistanke om overtrædelse. Vigtige enheder er som udgangspunkt underlagt et mere reaktivt tilsyn, der udløses, når der er indikationer på manglende efterlevelse. Selve sikkerhedskravene er i store træk de samme for begge kategorier — forskellen ligger primært i tilsyns- og håndhævelsesregimet.

Klassifikationen afhænger typisk af en kombination af sektor og størrelse. Store organisationer i de mest kritiske sektorer havner oftest i kategorien af væsentlige enheder, mens mellemstore organisationer og organisationer i de øvrige omfattede sektorer typisk klassificeres som vigtige enheder. Der findes dog undtagelser, hvor visse enheder er omfattet uanset størrelse.

Sektorer og størrelsestærskler

NIS2 udvider antallet af omfattede sektorer betydeligt i forhold til det oprindelige direktiv. Sektorerne opdeles i sektorer af særlig kritisk betydning og andre kritiske sektorer.

Som hovedregel gælder en størrelsestærskel: direktivet omfatter mellemstore og store virksomheder, dvs. virksomheder med mindst 50 ansatte eller en årlig omsætning og balance over de fastsatte grænser. Mindre virksomheder kan dog alligevel være omfattet, hvis de udfører en samfundskritisk funktion, er enemsleverandør af en tjeneste, eller hvis en forstyrrelse ville kunne få væsentlige konsekvenser.

• Sektorer af særlig kritisk betydning: energi, transport, bankvæsen, finansielle markedsinfrastrukturer, sundhed, drikkevand, spildevand, digital infrastruktur, forvaltning af IKT-tjenester (B2B), offentlig forvaltning og rummet.
• Andre kritiske sektorer: post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling (herunder medicinsk udstyr), digitale udbydere (onlinemarkedspladser, søgemaskiner, sociale platforme) og forskning.
• Størrelsestærskel: som udgangspunkt mindst 50 ansatte eller mere end 10 mio. EUR i årlig omsætning/balance — med undtagelser for visse kritiske aktører uanset størrelse.

Ledelsens ansvar

En af de mest markante nyskabelser i NIS2 er, at ansvaret for cybersikkerhed placeres eksplicit hos ledelsen. Ledelsesorganet skal godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen af dem. Ansvaret kan ikke uddelegeres væk fra ledelsen.

Direktivet stiller også krav om, at medlemmer af ledelsesorganet gennemgår regelmæssig uddannelse i cybersikkerhed, så de er i stand til at identificere risici og vurdere kvaliteten af virksomhedens risikostyring. Ved overtrædelser kan der ud over bøder til organisationen komme sanktioner, der retter sig mod ledelsen, herunder midlertidigt forbud mod at varetage ledelsesfunktioner for væsentlige enheder.

For virksomheden betyder det, at cybersikkerhed ikke længere kan behandles som et rent teknisk anliggende i IT-afdelingen. Bestyrelse og direktion skal kunne dokumentere, at de har taget stilling til risikobilledet og godkendt de foranstaltninger, der skal håndtere det — og en revision vil typisk efterspørge netop denne dokumentation.

Risikostyringsforanstaltninger og hændelsesindberetning

NIS2 kræver, at omfattede enheder træffer passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til at styre risici for netværks- og informationssystemer. Foranstaltningerne skal følge en all-hazards-tilgang og som minimum dække en række definerede områder.

Ud over risikostyringsforanstaltningerne indfører direktivet en trinvis pligt til at indberette væsentlige hændelser til den kompetente myndighed eller CSIRT. Fristerne er kumulative og skal overholdes ved siden af den løbende håndtering af selve hændelsen.

• Politikker for risikoanalyse og informationssystemsikkerhed.
• Hændelseshåndtering, driftskontinuitet og backup-styring samt krisestyring.
• Sikkerhed i forsyningskæden og i forholdet til leverandører.
• Sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, herunder sårbarhedshåndtering.
• Politikker for kryptografi, adgangskontrol, aktivstyring og brug af multifaktor-autentificering.
• Tidlig varsling (early warning) senest 24 timer efter, at enheden er blevet bekendt med en væsentlig hændelse.
• Egentlig hændelsesunderretning senest 72 timer efter kendskab, med en indledende vurdering af hændelsens alvor og virkning.
• Endelig rapport senest en måned efter underretningen, med den fulde årsagsanalyse, konsekvenser og trufne afhjælpende foranstaltninger.

Sådan forbereder I en gap-analyse og revision

En struktureret gap-analyse er det naturlige udgangspunkt, før virksomheden går ind i en formel revision. Formålet er at fastslå, om organisationen overhovedet er omfattet, i hvilken kategori, og hvor stor afstanden er mellem den nuværende praksis og direktivets krav.

• Afklar, om virksomheden er omfattet, og om den klassificeres som væsentlig eller vigtig enhed — dokumentér begrundelsen.
• Kortlæg netværks- og informationssystemer samt de kritiske funktioner, de understøtter.
• Sammenhold de eksisterende foranstaltninger med direktivets risikostyringskrav, og notér hvert gap med en risikovurdering.
• Gennemgå forsyningskæden og leverandøraftalerne for sikkerhedsvilkår og hændelsesforpligtelser.
• Etabler og test processen for hændelsesindberetning mod 24-timers-, 72-timers- og én-måneds-fristerne.
• Dokumentér ledelsens godkendelse og uddannelse, så ansvarssporet kan forsvares over for tilsynet.
• Saml resultaterne i en gennemgangsklar gap-rapport med prioriterede afvigelser og en handlingsplan.

Sådan understøtter Audnexa NIS2-forberedelsen

Audnexa understøtter udarbejdelsen af auditerbare gap-analyse- og rapportudkast til NIS2 — med henvisninger til evidens og et fuldt audit trail. Værktøjet strukturerer gennemgangen mod direktivets risikostyringskrav og samler afvigelserne i et gennemgangsklart udkast til ledelsen. I offline-tilstand (Bank Mode) forbliver materialet i kundens infrastruktur, og et menneske godkender hver rapport.

Et modent værktøj, formet gennem flere års auditpraksis hos Virtline (ISO/IEC 27001). Det erstatter hverken en juridisk vurdering af, om virksomheden er omfattet, eller det formelle tilsyn fra myndighederne.

Ofte stillede spørgsmål

Kilder

• EUR-Lex — NIS2-direktivet (EU) 2022/2555 (dansk)
• EUR-Lex — DORA-forordningen (EU) 2022/2554 (dansk)
• ENISA — NIS Directive