Slik håndterer dere ny lovgivning innen cybersikkerhet

I løpet av året kommer mange bedrifter i ulike bransjer til å bli påvirket av ny lovgivning og regler koblet til cybersikkerhet. NIS2, EU sitt oppdaterte sikkerhetsdirektiv med hensikt om å øke det samlede sikkerhetsnivået i hele landet, er en av dem. Til tross for at NIS2 øker kravene til hvordan bedrifter jobber med cybersikkerhet, er det mange som ikke er klar over om man omfattes av regelverket, hva det innebærer og hvordan man innfører det i egen virksomhet. Her forteller vi mer om det.

NIS2 er utviklet for å øke organisasjonens evne til å motstå, og håndtere cyberangrep. Uansett om din bedrift omfattes av NIS2 eller ikke, så er det mye best practice man kan dra nytte av for å jobbe mer proaktivt og strategisk med sikkerhet i hele virksomheten.

«Blant de som er bevisste på hva NIS2 innebærer er det mange som mener at lovgivningen vil bidra positivt til cybersikkerhetsarbeidet, og til digitaliseringen i det store og det hele. NIS2 er et godt grunnlag for å påbegynne, eller fortsette arbeidet med strategisk sikkerhet i virksomheten, både på ledelsesnivå, i tekniske løsninger og i den interne kulturen.» sier Johnny Eriksson, Nordlo.

Disse krav stiller NIS2 til virksomheten

Gjør cybersikkerhet til et ledelsesspørsmål

Når bedrifter utsettes for angrep er det mer enn bare enkeltapplikasjoner som påvirkes, snarere settes hele virksomheter ut av drift. Derfor er det ikke overraskende at det oppdaterte NIS2-direktivet innebærer økte krav til risikoanalyser, sikkerhetstiltak samt ledelsens aktive deltakelse i bedriftens cybersikkerhetsarbeid. Dette betyr at cybersikkerhet ikke lengre kan sees på som kun et IT-spørsmål, men heller en forretningsrisiko som skal håndteres på strategisk nivå i virksomheten.

Derfor er det viktig at ledergruppen er satt godt inn i hva NIS2 innebærer for deres sikkerhetsarbeid og hvilke tiltak som må gjøres for å oppfylle forskriftskravene.

Cybersikkerhetsarbeidet er et forretnings-strategisk tema som bør være et fast punkt på kvartalsmøter med bedriftens IT-partner og på ledergruppe- og styremøter. Målet er at cybersikkerhet skal være en integrert del i alt dere foretar dere som bedrift, og ikke en isolert funksjon på IT-avdelingen.

En av de største risikoene ved å ikke følge NIS2 er helt klart de økonomiske. Dels handler det om sanksjoner dersom bedriften ikke overholder reglene, men også det direkte økonomiske tapet som en sikkerhetshendelse innebærer. Å investere i cybersikkerhet gir altså ikke økt lønnsomhet i seg selv, men det reduserer risikoen for at lønnsomheten går tapt på grunn av en hendelse – både i form av driftsstans og skadet varemerke.

Sikre din nåværende posisjon og se fremover.

Å benytte NIS2 som best practice vil styrke deres beskyttelse mot angrep samtidig som dere opprettholder en sikker og motstandskraftig organisasjon. Gjør en status av nåværende situasjon, finn bedriftens svakheter og jobb med dette.

Informasjonssikkerheten er en av grunnstenene i sikkerhetsdirektivet, og er helt avgjørende for et robust og proaktivt sikkerhetsarbeid. Tid er en mangelvare når angrepet skjer, noe om gjør det forebyggende arbeidet til en uvurderlig del av beskyttelsen. I tillegg til å ha kontroll på informasjons tilganger, hvor de lagres og hvilken sikkerhetsgrad de skal ha, innebærer det også dette:

• Identifisere og dokumentere risiko og sårbarheter. Risikoanalysen innebærer at dere tar en gjennomgang av hele IT-miljøet for å identifisere sårbarheter, hvilken data som skal beskyttes og mangler i cybersikkerheten til bedriften.
• Riktige sikkerhetsløsninger på plass. Sørg for at deres mest kritiske systemer, sensitiv data og applikasjoner er beskyttet og motstandsdyktig i henhold til de kravene som NIS2 har definert.
• Sørg for å ha en beredskaps og kontinuitetsplan. Hvilke sikkerhetsløsninger og tiltak kreves for at dere raskt skal kunne gjenopprette kritiske funksjoner og system? Lag en beredskaps- og kontinuitetsplan for å bedre kunne kontrollere effekten av en eventuell hendelse og redusere innvirkningen forstyrrelsene kan ha på virksomheten.
• Forankre med medarbeiderne. Brukerne utgjør ofte en stor risiko så det er viktig å ha opplæring med medarbeiderne i grunnleggende sikkerhetsprinsipper for å forklare deres rolle i de handlingsplaner som finnes. Dette er en viktig del av en styrket sikkerhetskultur og en økt samlet sikkerhetsbevissthet innen bedriften.

Felles for organisasjoner med en høy sikkerhetsmodenhet er at de i mye større grad jobber kontinuerlig forebyggende med opplæring og etterlevelse, samt at de vet hvordan ansvarsfordelingen er ved håndtering av sikkerhetshendelser som dukker opp. Mindre sikkerhetsmodne organisasjoner jobber mer reaktivt med sin cybersikkerhet.

Bidra til trygghet i hele forsyningskjeden.

En sikrere forsyningskjede er en viktig del av NIS2, og dette innebærer at det er mange som vil påvirkes indirekte av det skjerpede sikkerhetsdirektivet da de er leverandører til bedrifter innen de aktuelle områdene. Leverandørene kan derfor bli gransket av både kunder og av myndigheter når direktivet trer i kraft.

Dette stiller krav til dere som berørt selskap, som må ha god kunnskap og innsikt i forsyningskjeden for å vurdere det overordnede sikkerhetsnivået hos samtlige leverandører, og ikke bare i egen drift.

Selv om ikke din virksomhet tilhører de bedriftene som berøres direkte av NIS2, kan regelverket likevel brukes som best practice for å håndtere sikkerhetsspørsmål i organisasjonen. Alle bedrifter drar nytte av å ta i bruk anbefalingene til NIS2.

Ta kontakt oss i Nordlo for råd rundt tekniske løsninger og strategier som er kompatible med det nye regelverket som kommer med NIS2.

Slik kan vi hjelpe deg