Er jeres virksomhed omfattet af NIS2? Hvem følger op på cybersikkerhedsrisici, og hvor finder I dokumentationen, når der bliver brug for den? Hvad er NIS2? Det er EU-regler, der stiller krav til cybersikkerhed og håndtering af risici for bestemte virksomheder og sektorer.
Reglerne handler blandt andet om ledelsesansvar, sikkerhedsforanstaltninger og håndtering af hændelser. De kan også påvirke virksomhedens arbejde med leverandører og adgang til systemer. Hvilke krav der gælder, afhænger af virksomhedens aktiviteter og forhold. Undersøg derfor jeres egen situation frem for at gå ud fra, at reglerne gælder eller ikke gælder.
NIS2 dækker både juridiske krav og det daglige arbejde med at følge dem. BizPerformers ordbogsside om NIS2 forklarer de grundlæggende begreber. Virksomhedens egen vurdering skal også tage højde for dens opgaver, systemer og ansvar.
Undersøg, om NIS2 kan omfatte virksomheden
Få først styr på, hvad virksomheden leverer. Skriv de vigtigste ydelser ned, og se på, hvilke sektorer og kunder de knytter sig til. Undersøg derefter, om virksomhedens rolle og størrelse indgår i reglernes kriterier. Svaret er ikke det samme for alle virksomheder.
Se også på forbindelserne til andre virksomheder. En leverandør kan have kontraktlige eller praktiske forpligtelser, selv om det ikke i sig selv betyder, at NIS2 gælder direkte for leverandøren. Gennemgå relevante aftaler, og spørg kunder og samarbejdspartnere, hvilke sikkerhedskrav de stiller. Skeln mellem lovkrav, kontraktkrav og virksomhedens egne sikkerhedsmål.
En praktisk vurdering kan følge nogle tydelige trin. Beskriv virksomhedens aktiviteter, identificér den sektor, de hører til, og undersøg kriterierne for virksomhedens rolle. Notér, hvem der har vurderet forholdene, hvilke oplysninger vurderingen bygger på, og hvad der mangler at blive undersøgt. Hvis svaret er uklart, kan juridisk rådgivning eller en fagpersons gennemgang hjælpe. Artiklen er ikke juridisk rådgivning.
Hvad er NIS2 for jer i praksis? Svaret afhænger af virksomhedens funktion og de krav, der følger med den. Gem vurderingen sammen med begrundelsen. Hvis aktiviteterne ændrer sig, bør I gennemgå vurderingen igen.
Følg en opgave fra ansvar til dokumentation
En arbejdsproces kan vise, hvor sikkerheden skal indgå. Tag en typisk opgave, hvor en medarbejder skal have adgang til oplysninger for at udføre sit arbejde. Beskriv opgaven og dens formål. Udpeg derefter den ansvarlige, de nødvendige systemer og de oplysninger, medarbejderen må bruge.
Giv adgang efter arbejdsbehov. Den ansvarlige bør kunne se, hvem der har adgang, hvad adgangen omfatter, og hvem der kan godkende ændringer. Når opgaven er afsluttet, skal adgangen vurderes igen. Det mindsker risikoen for, at gamle rettigheder bliver stående uden en tydelig grund.
Processen skal også efterlade brugbar dokumentation. Gem beslutninger, godkendelser, instrukser og oplysninger om opfølgning ét sted, hvor de rette medarbejdere kan finde dem. Skriv, hvem der holder materialet ajour, og hvornår en ændring kræver en ny gennemgang. Dokumentationen er mest nyttig, når den følger arbejdet i stedet for at blive samlet ind bagefter.
Gennemgå en eksisterende arbejdsgang. Kan medarbejderen se, hvem der ejer opgaven? Kan en leder finde den seneste godkendelse? Er det tydeligt, hvad der sker, hvis nogen opdager en risiko? Hvis svarene kræver søgning i flere mapper og beskeder, kan det være værd at samle arbejdsgangen ét sted. BizPerformer tilbyder digitalisering af arbejdsprocesser med og uden AI på bizperformer.com.
Brugeradministration og digitale arbejdsgange i compliance
Brugeradministration hjælper virksomheden med at styre adgang til systemer og information. En fast proces bør knytte adgang til en rolle eller arbejdsopgave, kræve godkendelse fra en ansvarlig og beskrive, hvordan rettigheder ændres eller fjernes. Gennemgå også særlige adgange, der giver mulighed for at ændre vigtige indstillinger eller håndtere følsomme oplysninger.
Digitalisering kan samle opgaver, ansvar og dokumentation i samme arbejdsgang. En registreret anmodning kan sendes videre til godkendelse, mens beslutningen gemmes sammen med opgaven. Det skaber et spor til intern opfølgning. Automatisering bør dog ikke fjerne menneskelig kontrol, når der er brug for faglig vurdering eller ledelsesgodkendelse.
En platform kan støtte arbejdet, hvis dens funktioner passer til virksomhedens processer. BizPerformer digitaliserer og understøtter arbejdsprocesser med og uden AI. Virksomheden tilbyder også brugeradministration, platformhosting, support og sparring. InfoBridge tilbyder dokumentation og compliance for virksomheder med høje krav. Undersøg, hvordan platformen håndterer dokumenter, ansvar og godkendelser, og hvem der får adgang.
Få gennemgået en arbejdsgang, der indgår i virksomhedens compliance-arbejde. Se efter, om ansvar og godkendelser kan følges, om dokumentationen kan findes igen, og hvordan ændringer håndteres. BizPerformer bygger løsninger i faser og afstemmer dem med virksomhedens forretning fra start. På den måde kan processen gennemgås trinvis, inden arbejdet udvides.
Næste skridt i virksomhedens NIS2-arbejde
Hvad er NIS2 i den daglige drift? Det handler også om, hvorvidt medarbejderne følger de aftalte processer, og om ledelsen kan se, hvem der har ansvar for opfølgning. Brug tjeklisten som arbejdsredskab:
- Beskriv virksomhedens aktiviteter, kunder og vigtigste leverandørforhold.
- Undersøg, om reglernes kriterier omfatter virksomhedens rolle, og dokumentér vurderingen.
- Udpeg ansvarlige for risikovurdering, adgangsstyring og opfølgning.
- Gennemgå, hvordan brugeradgange bliver godkendt, ændret og fjernet.
- Vælg en arbejdsproces, og saml dens opgaver, godkendelser og dokumentation.
- Beskriv, hvem der vedligeholder materialet, og hvornår processen skal gennemgås.
Skeln mellem at have et dokument og at kunne bruge det. En instruktion skal være til at finde, forstå og følge. En godkendelse skal vise, hvem der traf beslutningen. En adgang skal kunne knyttes til et arbejdsbehov. Når de forhold er tydelige, kan virksomheden følge sit compliance-arbejde.
BizPerformers platforme og ydelser kan indgå i arbejdet med digitalisering, brugeradministration og dokumentation. Undersøg, hvilke arbejdsgange I vil understøtte, hvilke oplysninger der skal gemmes, og hvem der skal bruge dem. Tag derefter stilling til, om en platform, support eller sparring kan hjælpe med opgaverne. Virksomhedens egne krav og juridiske vurdering afgør, hvad løsningen skal understøtte.