Temaside - NIS2

NIS står for nettverks- og informasjonssikkerhet og er et direktiv som skal styrke det digitale forsvaret i EU- og EØS-land. Direktivet ble vedtatt i EU allerede i 2016, og nå står vi foran en utvidelse med implementeringen av NIS2.  

Den norske loven om digital sikkerhet er basert på NIS1, men det er ventet at den vil bli oppdatert for å inkludere NIS2. I EU trer NIS2 i kraft fra oktober 2024. Mange norske selskaper forholder seg allerede til kravene i NIS2, ettersom direktivet antas å bli innlemmet i norsk lov.

NIS2  pålegger virksomheter i kritiske sektorer som blant annet energi, transport, helse og finans å gjennomføre risikohåndteringstiltak og rapportere cyberhendelser. Direktivet utvider antall virksomheter som omfattes av kravene og innfører strengere tilsyn og sanksjoner ved brudd. Målet er å beskytte kritisk infrastruktur og sikre bedre samarbeid mellom landene. 

1. Risikohåndtering:

   Bedrifter må analysere sine systemer for potensielle trusler og sårbarheter, samt implementere tiltak som brannmurer, oppdateringer og opplæring av ansatte for å redusere risiko.

2. Hendelsesrapportering:

   Cyberangrep og alvorlige sikkerhetshendelser skal rapporteres til relevante myndigheter, ofte innen 24 timer, for å sikre rask respons og redusere skader.

3. Tilgangskontroll og sikkerhetstiltak:

   Bedrifter må sørge for sikre systemer ved å bruke tiltak som multifaktorautentisering, regelmessige oppdateringer og overvåking av uvanlig aktivitet.

4. Samarbeid og informasjonsdeling:

   Bedrifter må bidra til felles cybersikkerhet ved å dele kunnskap om trusler og angrep gjennom samarbeid med andre aktører og myndigheter.

5. Overholdelse av tilsyn og sanksjoner:

   Virksomheter må dokumentere at de følger kravene i NIS2 og risikerer bøter eller andre sanksjoner dersom de ikke etterlever regelverket.

• Krav til rapportering ved hendelser
• Krav om implementering av tekniske og organisatoriske sikkerhetstiltak
• Krav til risikostyring og sikkerhetsvurdering for å identifisere, vurdere og redusere risiko

Ved hendelse….

✓ Initiell varsel: 24 timer – kort beskrivelse. Potensiell ulovlig eller annen ondsinnet aktivitet eller grenseoverskridende konsekvenser

✓ Hendelsesvarsling: Sendes senest 72 timer med oppdatert informasjon og en foreløpig vurdering av hendelsens alvorlighetsgrad og virkning

✓ Mellomrapport: Sendes etter forespørsel fra CSIRT elle kompetent nasjonal myndighet

✓ Sluttrapport: Sendes senest en måned etter hendelsesvarslingen. Rapporten skal gi en grundig beskrivelse av rotårsak, eventuelle begrensende tiltak og eventuelle grenseoverskridende effekter

Sammenlignet med NIS1 stiller NIS2 strengere krav til tilsyn for å sikre etterlevelse av direktivet. Tilsynet vil være mer omfattende for vesentlige sektorer enn for viktige sektorer, noe som reflekterer deres betydning for samfunnets kritiske funksjoner.

Manglende etterlevelse av NIS2 kan føre til betydelige bøter:

• Viktige sektorer risikerer bøter på opptil 7 millioner euro eller 1,4 % av deres globale årlige omsetning, avhengig av hvilket beløp som er høyest.
• Vesentlige sektorer kan få bøter på opptil 10 millioner euro eller 2 % av deres globale årlige omsetning, avhengig av hvilket beløp som er høyest.

NIS2-direktivet fastsetter tydelige retningslinjer for teknologiske krav som er avgjørende for å styrke sikkerheten til digitale tjenester og kritisk infrastruktur. Disse kravene, som er beskrevet i artikkel 21 i NIS2-direktivet, utgjør en helhetlig tilnærming til nettverks- og informasjonssikkerhet og vil sannsynligvis bli obligatoriske for alle virksomheter som omfattes av direktivet.

De teknologiske kravene inkluderer:

(a) Retningslinjer for risikobasert analyse og sikkerhet i informasjonssystemer
(b) Håndtering av sikkerhetshendelser
(c) Beredskapsplaner, som backup-håndtering, katastrofegjenoppretting og krisehåndtering
(d) Sikkerhet i leverandørkjeden, inkludert forholdet til direkte leverandører og tjenestetilbydere
(e) Sikkerhet i anskaffelse, utvikling og vedlikehold av nettverk og informasjonssystemer, inkludert håndtering og rapportering av sårbarheter
(f) Retningslinjer og prosedyrer for å vurdere effektiviteten av tiltak for styring av cybersikkerhetsrisiko
(g) Grunnleggende cybersikkerhetstiltak og opplæring i cybersikkerhet
(h) Retningslinjer og prosedyrer for bruk av kryptografi og, der det er relevant, kryptering
(i) Sikkerhet knyttet til menneskelige ressurser, tilgangskontroll og håndtering av eiendeler
(j) Bruk av flerfaktorautentisering eller kontinuerlige autentiseringsløsninger, sikre kommunikasjonsmidler for tale, video og tekst, og sikre nødkommunikasjonssystemer, der det er relevant

Disse teknologiske og organisatoriske kravene er utformet for å støtte de seks hovedpilarene som NIS2-direktivet bygger på og er essensielle for å etablere en robust og pålitelig sikkerhetsstruktur.