NIS2 er EU’s regler om cybersikkerhed for virksomheder i en lang række sektorer. For de omfattede virksomheder stiller reglerne krav om risikostyring, håndtering af hændelser og hurtig rapportering til myndighederne. Det betyder i praksis, at I skal kunne dokumentere, hvad der er sket, når en hændelse opstår. Det er bevisberedskab under et andet navn. Har I styr på logning, bevaring og en plan for de første timer, er I et godt stykke af vejen.
Artiklen handler kun om bevis- og logningsvinklen. Den gennemgår ikke, om jeres virksomhed er omfattet, eller hele listen af krav. Det skal vurderes konkret.
Hvorfor NIS2 handler om beviser
Reglerne bygger på EU-direktivet (EU) 2022/2555. De omfattede virksomheder skal blandt andet:
- have foranstaltninger til at håndtere hændelser,
- sikre driftskontinuitet, herunder backup og genopretning,
- rapportere væsentlige hændelser til myndighederne inden for korte frister,
- sørge for, at ledelsen godkender og fører tilsyn med sikkerhedsarbejdet.
Rapporteringen er det, der gør beviserne vigtige. Efter direktivet skal der komme en tidlig varsling inden for 24 timer, en egentlig hændelsesrapport inden for 72 timer og en endelig rapport senere. Hver rapport kræver, at I kan svare på, hvad der skete, hvornår, hvordan og med hvilke konsekvenser. Uden logs og sikrede spor er svarene gætværk.
Hvad betyder det i praksis?
Logning, der kan svare på spørgsmål
Det er ikke nok, at logs findes. De skal kunne vise, hvordan en hændelse startede, og hvad den har ramt. Det kræver som minimum logning af login, administratorhandlinger, mail og adgang til vigtige data, og at loggene gemmes længe nok. → Minimumslogning: hvad bør være slået til?
Opbevaring, I kan begrunde
Mange hændelser opdages sent. Loggene skal derfor gemmes i en periode, der står mål med, hvor hurtigt I typisk opdager noget, og det skal afvejes mod reglerne om persondata. → Hvor længe skal virksomheden gemme logs?
En plan, der sikrer før den rydder op
Kravet om at håndtere hændelser betyder, at I skal have en plan. Planen bør have et afsnit om, hvordan spor sikres, før systemer genoprettes. Ellers kan genopretningen fjerne netop det, I skal bruge til rapporterne. → Beredskabsplan med et afsnit om bevissikring
Backup, der kan bruges som dokumentation
Backup er ikke kun til at komme op at køre igen. En backup fra før hændelsen kan vise, hvordan systemet så ud, og hvad der er ændret. Det kræver, at I kan stoppe overskrivningen, når en hændelse opstår.
Ledelsens ansvar
NIS2 lægger et tydeligt ansvar på ledelsen. Det betyder, at bestyrelse og direktion skal kunne vise, at de har taget stilling til sikkerheden. Det gælder også beslutninger om logning, opbevaring og beredskab. Skriv beslutningerne ned i referater.
Hvad gør I nu, trin for trin
- Afklar, om I er omfattet. Gør det sammen med jeres rådgiver, og skriv konklusionen ned.
- Kortlæg jeres logs og deres opbevaringstid.
- Luk hullerne i logningen, især for administratorhandlinger og login.
- Skriv bevissikring ind i beredskabsplanen, med navne og telefonnumre.
- Lav en skabelon til rapporterne, så I ved, hvilke oplysninger der skal samles de første timer.
- Øv planen med ledelsen. → Øv en bevissag: skrivebordsøvelse for ledelsen
- Rapportér til bestyrelsen om status og de beslutninger, der er truffet.
Det skal I kunne svare på de første døgn
Brug spørgsmålene her som udgangspunkt for jeres skabelon. De viser, hvilke spor der skal være sikret, for at rapporterne kan skrives:
- ☐ Hvornår blev hændelsen opdaget, og af hvem?
- ☐ Hvornår startede den, så vidt det kan ses i loggene?
- ☐ Hvilke systemer og data er ramt?
- ☐ Er der persondata involveret, og i så fald hvilke?
- ☐ Er hændelsen stadig i gang, eller er den inddæmmet?
- ☐ Hvad er gjort indtil nu, og af hvem?
- ☐ Kan hændelsen have ramt kunder eller samarbejdspartnere?
Hvert spørgsmål kræver en kilde. Notér i skabelonen, hvor svaret skal findes: hvilken log, hvilket system, hvilken person. Så ved I det, når tiden er knap.
Er der persondata involveret, kan der også være pligt til at anmelde et persondatabrud til Datatilsynet. Det er et selvstændigt spor ved siden af NIS2-rapporteringen, med sin egen frist.
Leverandørkæden
En stor del af jeres IT ligger formentlig hos leverandører. NIS2 lægger vægt på sikkerheden i leverandørkæden, og det har en bevisside: Når en hændelse rammer jer via en leverandør, er det ofte leverandørens logs, der kan vise, hvad der skete. Har I ikke aftalt, at leverandøren skal udlevere logs og bistå, kan det tage lang tid at få dem.
Gennemgå derfor jeres vigtigste leverandøraftaler, og tjek, om de siger noget om underretning ved hændelser, udlevering af logs og bistand til undersøgelser. → IT-leverandørkontrakten: krav om logs og bistand
Hvem gør hvad
- Bestyrelse og direktion · Godkender, fører tilsyn, træffer beslutninger
- IT eller IT-leverandør · Logning, backup, sikring af spor
- Den sikkerhedsansvarlige · Plan, rapportering, opfølgning
- Advokat eller rådgiver · Vurderer, om I er omfattet, og hvad det kræver
Det skal I lade være med
- Lad være med at gå ud fra, at I ikke er omfattet. Reglerne dækker flere sektorer og flere mindre virksomheder end de tidligere regler. Og er I leverandør til en omfattet virksomhed, kan kravene komme via kontrakten.
- Lad være med at gøre det til et rent papirprojekt. En politik om logning hjælper ikke, hvis loggen ikke er slået til.
- Lad være med at lade genopretning gå forud for alt. Det er forståeligt, men rapporterne kræver dokumentation, som genopretningen kan fjerne.
- Lad være med at lade leverandøren alene stå for dokumentationen. Ansvaret er jeres.
Hvis I ikke er omfattet
Er I ikke omfattet af NIS2, er der stadig god grund til at bruge kravene som inspiration. De beskriver i store træk det, der skal til for at kunne håndtere og dokumentere en hændelse. Kunder, forsikringsselskaber og samarbejdspartnere stiller i stigende grad lignende spørgsmål, uanset om loven gælder for jer.
NIS2 og ISO 27001
Arbejder I efter ISO 27001, har I allerede mange af elementerne: risikovurdering, hændelseshåndtering, logning og en kontrol om indsamling af beviser. Det kan være en god ramme for også at opfylde NIS2-kravene. → ISO 27001 og indsamling af bevismateriale
Hvornår skal I have hjælp?
Afklaringen af, om I er omfattet, og hvad det betyder juridisk, hører hjemme hos en advokat eller en rådgiver med speciale i reglerne. Spørgsmålet om, hvorvidt jeres logs og jeres plan faktisk kan levere den dokumentation, der skal bruges, når en hændelse opstår, kan en uvildig IT-sagkyndig vurdere. Det er især nyttigt, hvis jeres IT-drift ligger hos en leverandør, der selv skal levere en del af dokumentationen.
Læs også: Øv en bevissag: skrivebordsøvelse for ledelsen · ISO 27001 og indsamling af bevismateriale · Ordbog for ledere
→ Bevissikring ved fratræden af nøglemedarbejdere · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
