Sådan forbereder man sig på NIS2

Den oprindelige NIS – NIS1 om man vil – blev vedtaget i 2016. Det var den første tværsektorielle cybersikkerhedslov i EU. Både NIS og NIS2 har til formål at bidrage til EU’s sikkerhed og til, at EU’s økonomi og samfund fungerer effektivt.

Men det første NIS-direktiv var begrænset i sit omfang og ret konservativ med sin strafudmåling. Direktivet gav også medlemslandene stor frihed til at fastsætte deres egne sikkerhedskrav. Det førte til uoverensstemmelser fra land til land med hensyn til, hvem der skulle opfylde kravene, deres detaljeringsgrad og landets tilsynsmetode.

Disse forskelle mellem landenes cybersikkerhedsstandarder gjorde det mere kompliceret og dyrere at tilbyde varer eller tjenester på tværs af grænserne. Selv om et land havde et højt sikkerhedsniveau, kunne det skabe en risiko for hele EU, når de handler med et mere sårbart land. I sidste ende blev NIS ikke håndhævet i de fleste lande. Af denne grund blev NIS2 oprettet.

Teksten i NIS2 anerkender manglerne i den første NIS. Desuden blev der peget på intensiveringen og den øgede sofistikering af cybertrusler som en grund til at opdatere forordningen.

Sammenlignet med NIS vil NIS2:

• Gælde for et større antal sektorer og brancher
• Have større bøder for sikkerhedsbrud
• Være mere specifik, når cybersikkerheds- og risikostyringsforanstaltninger formuleres
• Inkludere strengere regler for rapportering af sikkerhedsbrud
• Tilskynde samarbejdet om cybersikkerhed mellem EU’s medlemslande

Samlet set gør ændringerne i NIS2 direktivet mere konsistent på tværs af EU og bedre til at håndtere nutidens udfordringer.

NIS2 gælder for alle organisationer og virksomheder i Den Europæiske Unions (EU) medlemslande. Direktivet opdeler de specifikke kategorier af organisationer, der skal overholde reglerne, i ”essentielle entiteter” og ”vigtige entiteter”. Hvis jeres virksomhed (uanset om den er offentlig eller privat) tilhører en af disse 11 sektorer, kan I være en essentiel entity:

• Energi
• Transport
• Bankvirksomhed
• Finansiel
• Sundhed
• Drikkevand
• Spildevand
• Digital infrastruktur
• IKT-servicestyring
• Offentlig administration
• Rumfart

På den anden side er vigtige entiteter offentlige eller private organisationer i disse 9 sektorer:

• Transport- og fragttjenester
• Håndtering af affald
• Fremstilling
• Produktion og distribution af kemiske produkter
• Produktion, forarbejdning og distribution af fødevarer
• Fremstilling af medicinsk udstyr
• IT, elektroniske og optiske produkter, elektrisk udstyr, maskiner og udstyr, motorkøretøjer og andet transportudstyr), digitale leverandører og forskning

Væsentlige enteties kan til enhver tid undersøges gennem audits og inspektioner, mens vigtige entiteter kun vil blive undersøgt efter en sikkerhedshændelse. Alle mellemstore og store virksomheder skal overholde NIS2. Derudover kan medlemslandene kræve, at mindre virksomheder, der har en høj sikkerhedsrisikoprofil, overholder reglerne, og sikre, at selv enteties, der er udelukket fra anvendelsesområdet, opnår et højt cybersikkerhedsniveau.

I bør rapportere alle sikkerhedshændelser til Datatilsynet, som er den danske datamyndighed. Når man rapportere en sikkerhedshændelse er der som udgangspunkt tre trin:

1. Send en tidlig advarsel inden for de første 24 timer
2. Gennemfør en indledende vurdering inden for 72 timer
3. Udarbejd en endelig, detaljeret rapport senest en måned efter jeres første vurdering

Jeres endelige rapport skal indeholde følgende:

• En detaljeret beskrivelse af hændelsen, herunder dens alvor og konsekvenser.
• Den type trussel eller grundlæggende årsag, der sandsynligvis har udløst hændelsen.
• Anvendte og igangværende afhjælpende foranstaltninger.
• Eventuelle grænseoverskridende konsekvenser for hændelsen

Hvis hændelsen stadig ikke er løst på tidspunktet for denne endelige rapport, skal I muligvis indsende en statusrapport og endnu en endelig rapport inden for en måned efter, at hændelsen er løst.

Hvert medlemsland fastsætter sin egen maksimale bøde baseret på en procentdel af virksomhedens globale årlige omsætning. Som beskrevet i NIS2 er rammen for disse.

• Essentielle entiteter: En maksimal bøde på mindst 2% af den globale årlige omsætning.
• Vigtige entiteter: En maksimal bøde på mindst 1,4% af den globale årlige omsætning.

Er I en essentielle entity kan den administrerende direktør eller juridiske repræsentanter også midlertidigt suspenderes fra at udøve deres ledelsesfunktioner efter en sikkerhedshændelse, og myndighederne kan udpege en tilsynsførende til at overtage vedkommendes rolle fremadrettet.