Vad innebär de nya kraven på riskhantering?

En av de stora förändringarna med NIS2 är de skärpta kraven på riskhantering. Istället för att fokusera på reaktiva åtgärder efter inträffade incidenter, lägger direktivet nu stor vikt vid proaktiv identifiering och hantering av potentiella risker. Detta innebär en mer strategisk och metodisk approach till cybersäkerhet, där företag och organisationer förväntas ta ansvar för att kartlägga och bedöma alla relevanta hotbilder och sårbarheter som kan påverka deras verksamhet. Företag som omfattas av direktivet måste nu implementera omfattande riskhanteringsåtgärder för att identifiera och hantera potentiella cybersäkerhetshot.

Krav på riskbedömningar enligt NIS2:

• Regelbunden och systematisk: Riskbedömningar ska utföras regelbundet och systematiskt, och anpassas vid behov.
• Identifiera risker: Alla relevanta cybersäkerhetsrisker ska identifieras, inklusive interna och externa hot, sårbarheter och potentiella konsekvenser.
• Analys av risker: Varje risk ska analyseras noggrant för att bedöma sannolikhet och potential för skada.
• Bedöma åtgärder: Lämpliga och proportionella åtgärder ska vidtas för att hantera identifierade risker.
• Dokumentera och rapportera: Riskbedömningar, inklusive identifierade risker, analyser, åtgärder och beslutsmotiveringar, ska dokumenteras och rapporteras till relevant tillsynsmyndighet vid behov.

  

Genom att utföra regelbundna och systematiska riskbedömningar kan man:

• Få en tydlig bild av den aktuella cybersäkerhetsnivån: Genom att identifiera och analysera risker får man en bättre förståelse för organisationens styrkor och svagheter när det gäller cybersäkerhet.
• Prioritera åtgärder: Riskbedömningar ger en grund för att prioritera vilka åtgärder som är mest effektiva för att hantera de identifierade riskerna. Detta kan leda till en mer resurseffektiv och kostnadseffektiv cybersäkerhetsstrategi.
• Förebygga incidenter: Proaktiv riskhantering kan bidra till att förhindra att cybersäkerhetsincidenter inträffar. Detta kan spara både tid och pengar, och skydda organisationens rykte.
• Uppfylla lagkrav: NIS2 ställer tydliga krav på att riskbedömningar ska utföras regelbundet och på ett dokumenterat sätt. Att uppfylla dessa krav är en viktig del av att efterleva direktivet.
•  

Vad innebär de nya kraven på incidentrapportering

En annan central del av NIS2-direktivet är de nya, mer stränga kraven på incidentrapportering. Syftet är att skapa en tydligare och mer samordnad bild av cybersäkerhetshotet i Europa, och att ge myndigheterna verktyg att effektivt kunna hantera och förebygga incidenter.

NIS2-direktivet kräver att företag och organisationer som omfattas av direktivet ska anmäla allvarliga cybersäkerhetsincidenter till relevant tillsynsmyndighet inom 72 timmar efter att de upptäckts. En incident anses vara allvarlig om den kan orsaka:

• Störningar i tillhandahållandet av kritiska tjänster
• Betydande ekonomisk förlust
• Skada på människors hälsa eller säkerhet

Utöver själva anmälan ställer direktivet också krav på att organisationen ska tillhandahålla detaljerad information om incidenten.

Vad behöver man göra som företag?

För att uppfylla NIS2:s krav på incidentrapportering behöver företag:

• Ha en tydlig process för identifiering och hantering av cybersäkerhetsincidenter. Denna process bör inkludera rutiner för att dokumentera incidenter, bedöma deras allvarlighetsgrad och vidta nödvändiga åtgärder.
• Utse en kontaktperson som ansvarar för att rapportera incidenter till tillsynsmyndigheten. Kontaktpersonens kontaktuppgifter bör vara tydligt dokumenterade och tillgängliga för alla anställda.
• Informera personalen om NIS2:s krav på incidentrapportering. Personalen bör veta hur de ska identifiera och rapportera potentiella incidenter.
• Regelbundet testa incidentrapporteringsprocessen. Se till att processen fungerar effektivt och att den uppfyller direktivets tidsfrister.

Konkreta tips för att uppfylla kraven i NIS2

Hur företag kan leva upp till kraven:

• Etablera en process för riskhantering: Utveckla en tydlig och dokumenterad process för riskhantering av cybersäkerhet, inklusive roller, ansvar och rutiner för riskbedömningar.
• Engagera relevanta aktörer: Involvera relevanta personer från olika delar av organisationen i riskbedömningsprocessen, t.ex. IT, drift, ledning och juridik.
• Etablera en plan för incidenthantering: Utveckla en detaljerad plan som beskriver steg-för-steg hur företaget ska reagera på och rapportera säkerhetsincidenter. 
• Utbilda personal: Genomför regelbunden utbildning för alla anställda om företagets säkerhetsprocedurer och hur de ska rapportera incidenter. 
• Använda lämpliga metoder: Använd etablerade metoder och verktyg för riskanalys, t.ex. ISO 27001 eller NIST Cybersecurity Framework.
• Kontinuerlig förbättring: Regelbundet granska och uppdatera riskbedömningar och vidtagna åtgärder för att återspegla förändringar i verksamheten och hotbilden.
• Söka experthjälp: Vid behov, ta hjälp av experter på cybersäkerhet för att utföra riskbedömningar eller ge råd om lämpliga åtgärder.

Förutom att utföra regelbundna riskbedömningar enligt ovanstående krav, måste företag som omfattas av NIS2 också:

• Vidta lämpliga säkerhetsåtgärder: Implementera lämpliga tekniska och organisatoriska åtgärder för att hantera identifierade risker.
• Rapportera incidenter: Anmäla allvarliga cybersäkerhetsincidenter till relevant tillsynsmyndighet inom 72 timmar.
• Genomföra övningar: Utföra regelbundna övningar och tester för att säkerställa att cybersäkerhetsrutiner och åtgärder är effektiva.
• Samverka med myndigheter: Samarbeta med relevanta myndigheter och andra aktörer för att förbättra cybersäkerheten i sin sektor.

Vill du veta mer?

Kontakta oss på Further så hjälper vi dig!