NIS2 Compliance: Praktiske Skridt for Danske SMV'er

NIS2-direktivet repræsenterer en markant opstramning af cybersikkerhedskravene på tværs af EU, og det vil også påvirke en lang række danske SMV'er. Formålet er at styrke den digitale modstandsdygtighed og harmonisere sikkerhedsniveauet. Som SMV er det afgørende, at I proaktivt forbereder jer på NIS2 compliance for at undgå potentielle sanktioner og beskytte jeres forretning mod cybertrusler.

Hvem er omfattet af NIS2-direktivet?

NIS2-direktivet udvider markant omfanget af den tidligere NIS1-lovgivning. Det omfatter nu flere sektorer og typer af virksomheder, herunder mellemstor og stor virksomhed inden for blandt andet energi, transport, sundhed, digital infrastruktur og visse fremstillingsvirksomheder. En dansk SMV vil typisk falde ind under 'mellemstore' eller 'andre essentielle enheder'. Kriterierne baseres ofte på antal ansatte (≥ 50) eller omsætning (≥ 10 mio. EUR) kombineret med virksomhedens samfundskritiske funktion. Identifikation af, om jeres virksomhed er omfattet, er første skridt i en effektiv forberedelse.

Nøglekrav i NIS2 for cybersikkerhed

NIS2 stiller en række konkrete krav til informationssikkerhed og risikostyring. Det er ikke tilstrækkeligt kun at reagere på angreb; I skal have proaktive foranstaltninger på plads. Direktivet omfatter blandt andet krav om:

Implementering af disse krav kræver en helhedsorienteret tilgang, der dækker både tekniske, organisatoriske og proceduremæssige aspekter af jeres IT-miljø.

• **Risikostyring:** Systematisk identifikation, vurdering og afhjælpning af sikkerhedsrisici.
• **Incidenthåndtering:** Effektive procedurer for opdagelse, analyse og rapportering af sikkerhedsbrud.
• **Business Continuity:** Planer for at opretholde kritiske funktioner ved afbrydelser, herunder backup og genopretning (Disaster Recovery).
• **Forsyningskædesikkerhed:** Krav til jeres leverandører om at opfylde relevante sikkerhedsstandarder.
• **Medarbejderuddannelse:** Regelmæssig træning af medarbejdere i cybersikkerhed.
• **Adgangskontrol:** Stærke mekanismer til styring af adgang til systemer og data, herunder multifaktorautentificering.

Konkrete forbedringer af jeres IT-sikkerhed

For at opnå NIS2 compliance bør I overveje at implementere følgende forbedringer i jeres nuværende IT-sikkerhed:

Disse skridt vil ikke blot hjælpe jer med at leve op til NIS2, men også generelt forbedre jeres modstandsdygtighed over for de mange cybertrusler, der eksisterer i dag.

• **Udvidet trusselsovervågning:** Brug løsninger som Security Information and Event Management (SIEM) til proaktivt at detektere mistænkelig aktivitet.
• **Styrket identitets- og adgangsstyring:** Indfør Multi-Faktor Autentificering (MFA) som standard for alle systemer og tjenester, herunder Microsoft 365 og VPN-adgang.
• **Regelmæssige sårbarhedsscanninger og penetrationstest:** Identificer og ret svagheder i jeres netværk, applikationer og systemer.
• **Opdaterede backup- og genopretningsplaner:** Sørg for robuste og testede strategier for datagendannelse efter et sikkerhedsbrud.
• **Uddannelse og awareness:** Gennemfør løbende phishing-træning og sikkerhedsbevidstgørelse for alle medarbejdere. Det er afgørende for at reducere menneskelige fejl.
• **Leverandørstyring:** Etabler klare aftaler og krav til IT-sikkerhed med jeres tredjepartsleverandører.

Sådan kommer I i gang

1. **Vurder jeres omfang:** Få afklaret, om jeres SMV er omfattet af NIS2-direktivet. 2. **Udfør en GAP-analyse:** Sammenlign jeres nuværende IT-sikkerhedsniveau med NIS2-kravene for at identificere mangler. 3. **Prioriter og planlæg:** Udarbejd en handlingsplan med konkrete skridt for at lukke de identificerede 'gaps'. 4. **Implementer og dokumenter:** Udfør de nødvendige ændringer og sørg for grundig dokumentation af alle processer og tiltag. 5. **Test og vedligehold:** Test regelmæssigt jeres sikkerhedsforanstaltninger og opdater dem løbende, da trusselsbilledet udvikler sig.

Ofte stillede spørgsmål

**Hvad er forskellen på NIS1 og NIS2?** NIS2 udvider anvendelsesområdet til flere sektorer og virksomhedstyper og skærper kravene til risikostyring, incidenthåndtering og forsyningskædesikkerhed markant i forhold til NIS1.

**Hvilke konsekvenser er der ved ikke at overholde NIS2?** Manglende compliance kan medføre betydelige bøder, omdømmeskade og potentielle forretningstab som følge af operationelle forstyrrelser efter et cyberangreb.

**Hvornår træder NIS2 i kraft?** NIS2-direktivet er trådt i kraft på EU-niveau, og medlemsstaterne skal have implementeret det i national lovgivning inden oktober 2024. For danske SMV'er er det derfor relevant at begynde forberedelserne nu.

THINGGAARD IT kan guide jer gennem processen med at afdække jeres forpligtelser under NIS2 og hjælpe jer med at implementere de nødvendige cybersikkerhedsløsninger til en robust beskyttelse af jeres virksomhed.