Er jeres virksomhed omfattet af NIS2-reglerne, og har I en væsentlig sikkerhedshændelse, skal I underrette myndighederne i flere trin og inden for korte frister. Hvert trin kræver oplysninger om, hvad der er sket, hvad konsekvenserne er, og hvad I gør. De oplysninger skal komme et sted fra. Derfor skal I begynde at dokumentere fra den første time, også før I ved, om hændelsen er væsentlig.
Artiklen handler om den praktiske dokumentation. Den handler ikke om, hvorvidt jeres virksomhed er omfattet, eller om de nærmere regler. Det skal I afklare med jeres rådgivere og den myndighed, der er ansvarlig for jeres sektor.
Trinene i underretningen
NIS2-direktivet bygger på en underretning i flere trin. I hovedtræk er det:
- Tidlig varsling · Kort besked om, at en væsentlig hændelse er sket, inden for et døgn
- Underretning · Første vurdering af hændelsen, alvor og virkning, inden for 72 timer
- Endelig rapport · Beskrivelse af hændelsen, årsag, foranstaltninger og virkning, inden for en måned
Hvert trin bygger på det forrige. Det, I skriver i den tidlige varsling, skal kunne hænge sammen med den endelige rapport. Derfor skal dokumentationen være ordentlig fra start.
Det, I skal gemme fra første time
Lav en hændelseslogbog. Ét dokument, som én person fører, med tidspunkt for hver post. Gem desuden de kilder, logbogen henviser til.
- ☐ Tidspunkter: Hvornår blev hændelsen opdaget, af hvem, og hvordan? Hvornår blev den vurderet som væsentlig?
- ☐ Beslutninger: Hvem besluttede hvad, og hvornår, for eksempel at isolere systemer eller at give besked?
- ☐ Berørte systemer og tjenester: Hvilke tjenester over for kunder og samfund var påvirket, og hvor længe?
- ☐ Logs: Firewall, VPN, skytjenester, servere og sikkerhedsværktøjer. Eksportér dem, før de roterer. → Firewall-, VPN- og loginlogs
- ☐ Tekniske spor: Sikrede kopier af ramte systemer, før de genetableres.
- ☐ Kommunikation: Mails og beskeder om hændelsen, også interne.
- ☐ Underretninger: Kopi af alt, der er sendt til myndigheder, forsikring og kunder, med kvittering.
Hvorfor de tekniske spor betyder noget
Den endelige rapport skal typisk beskrive årsagen. Det er svært, hvis de ramte systemer er geninstalleret, før nogen har set på dem. Samme problem kender I fra forsikringssager. Løsningen er den samme: genetablér på rene systemer, og sikr de ramte, før de ryddes. → Bevissikring efter et cyberangreb
For skytjenester gælder det særligt, at logs har en begrænset levetid. Revisionsloggen i Microsoft 365 er et eksempel. Har den kort opbevaring, kan de første spor være væk, før den endelige rapport skal skrives. → Unified Audit Log i Microsoft 365
Hvem gør hvad
- Ledelsen · Beslutter om væsentlighed og underretning, har ansvaret
- IT-ansvarlig · Fører den tekniske del af logbogen, sikrer logs og spor
- Sikkerhedsansvarlig eller compliance · Skriver underretningerne og holder styr på frister
- Advokat · Rådgiver om pligter, persondata og kontrakter
- IT-sagkyndig · Sikrer og undersøger uvildigt, når årsagen skal belyses
NIS2 lægger et tydeligt ansvar på ledelsen. Det betyder også, at ledelsens beslutninger under hændelsen skal kunne dokumenteres. Skriv dem ned med tidspunkt og begrundelse.
Sådan skriver I logbogen
Logbogen er det dokument, alle underretninger bygger på. Den skal være let at føre under pres og let at læse bagefter. Et par enkle regler hjælper:
- Hver post har dato, klokkeslæt, hvem der skriver, og hvad der skete eller blev besluttet.
- Skriv fakta for sig og vurderinger for sig. “Kl. 14.10: Serveren svarer ikke” er fakta. “Vi tror, angrebet kom via VPN” er en vurdering og skal markeres som det.
- Ret ikke i gamle poster. Skriv en ny post, der retter den gamle, med henvisning.
- Henvis til de filer, der er gemt, for eksempel “loggen fra firewallen er eksporteret til mappe X kl. 15.30”.
- Gem logbogen et sted, der ikke er ramt af hændelsen, og som få har adgang til.
Det kan virke omstændeligt midt i en krise. Men det er den samme information, I ellers skal stykke sammen bagefter fra hukommelse, chatbeskeder og mails, når den endelige rapport skal skrives. Og det er langt sværere.
Hvornår er hændelsen væsentlig?
Om en hændelse er væsentlig, afhænger af reglerne og af jeres virksomhed. Typisk ser man på, om den har eller kan få alvorlig betydning for jeres tjenester, eller om den kan give væsentlige tab for andre. Vurderingen skal dokumenteres, også hvis I når frem til, at den ikke er væsentlig. Skriv ned, hvem der vurderede det, hvornår, og på hvilket grundlag. Ændrer billedet sig, så lav vurderingen igen.
Persondata og NIS2 er to spor
Mange hændelser er både en NIS2-hændelse og et persondatabrud. De har hver deres myndighed, frist og indhold. Brug den samme logbog, men hold underretningerne adskilt, og notér hvornår hver blev sendt. → Persondatabrud: dokumentationen inden for 72 timer
Det samme gælder forsikringen. Den har sine egne frister og krav. Giv besked parallelt. → Underret forsikringsselskabet
Det skal I lade være med
- Vent ikke med at dokumentere, til I ved, om hændelsen er væsentlig. Vurderingen kræver netop dokumentationen.
- Genetablér ikke alt, før de ramte systemer er sikret. Så kan årsagen være umulig at beskrive.
- Skriv ikke gæt i underretningen. Skriv, hvad I ved, og hvad I endnu ikke ved. Den endelige rapport kan rette billedet.
- Lad ikke flere personer skrive i hver sin logbog. Én logbog, én ejer. Andre giver oplysninger til ejeren.
- Glem ikke underleverandører. Hvis jeres drift ligger hos en leverandør, skal I have deres logs og oplysninger. Aftal det skriftligt nu.
Efter den endelige rapport
Når den endelige rapport er sendt, er sagen ikke nødvendigvis slut. Myndigheden kan stille opfølgende spørgsmål, og der kan komme krav fra kunder eller forsikring. Gem derfor logbogen, de sikrede kopier og alle underretninger samlet, og aftal med jeres rådgivere, hvor længe materialet skal opbevares. Lav også en kort gennemgang af, hvad der virkede, og hvad der ikke gjorde, mens det er frisk.
Forbered jer, før det sker
Har I ikke en plan, så lav en kort en i dag: Hvem fører logbogen? Hvem beslutter om underretning? Hvordan eksporterer IT logs fra de vigtigste systemer? Hvor lang tid gemmes de? Hvilke leverandører skal levere oplysninger, og står det i kontrakten? Svarene gør forskellen mellem en hændelse, I kan beskrive, og en, I må gætte på.
Hvornår skal I have hjælp udefra?
Når hændelsen er væsentlig, når årsagen er uklar, eller når jeres egen IT eller IT-leverandør selv kan være en del af forklaringen. En uvildig IT-sagkyndig kan sikre de ramte systemer og beskrive forløbet, så den endelige rapport bygger på dokumenterede fakta. Hastesager koster ekstra, også hos Nielco IT. → Pris og tilbud
Læs også: Kunderne kræver erstatning efter jeres databrud · Kommunikation efter et cyberangreb, der ikke ødelægger beviserne
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
