IT-sikkerhed havde i mange år en noget underordnet prioritet i den gennemsnitlige organisation. Det blev i hvert fald – af både høj og lav – betragtet som langt mindre væsentligt end at optimere kaffeforsyningen.
Den tid er heldigvis forbi. Talrige alvorlige cyberangreb har understreget situationens alvor, og med indførelsen af NIS2 er informationssikkerhed ikke længere kun et spørgsmål om firewalls, patching og stærke passwords.
I dag er det et spørgsmål om ledelse, ansvar, dokumentation, risikostyring, forsyningskæder og evnen til at holde samfundskritiske funktioner kørende, når nogen forsøger at vælte dem.
Det er også udgangspunktet for den helt nye bog ”NIS2 – Strategisk, taktisk, operationelt” af Karsten Dahl Vandrup og James Hindsgavl Brink, der udkom først i denne måned.
Begge har mange års erfaring med it-sikkerhed, governance, undervisning og praktisk implementering af cybersikkerhed i organisationer. Bogen er da også først og fremmest en håndbog for de organisationer, ledere, sikkerhedsfolk og rådgivere, der skal forstå, omsætte og implementere kravene i NIS2.
Relevant for alle der arbejder med it-sikkerhed
Forfatterne placerer direktivet i en bredere europæisk og dansk sammenhæng, idet de beskriver NIS2 som en reaktion på et ændret trusselsbillede, hvor cyberangreb ikke kun rammer enkelte virksomheder.
De stadig mere alvorlige hændelser kan tværtimod få konsekvenser for energiforsyning, transport, sundhed, kommuner, finans, telekommunikation og andre funktioner, som samfundet er afhængigt af.
Bogen gennemgår blandt andet overgangen fra NIS1 til NIS2, direktivets anvendelsesområde, ledelsens ansvar, krav til rapportering og håndtering af hændelser, bøder og sanktioner samt den praktiske implementering af cybersikkerhed. Den ser også på ENISA, europæiske og internationale standarder, ISO 27001, ISO 27002 og det danske D-mærke.
Et centralt spor er, at compliance og sikkerhed ikke er det samme. Man kan eksempelvis sagtens producere mapper, politikker og processer uden nødvendigvis at blive mere sikker af den grund.
Omvendt kan NIS2 ifølge bogens tilgang bruges som anledning til at opbygge en mere moden sikkerhedskultur, hvor foranstaltninger, rutiner og ansvar faktisk bliver en del af organisationens hverdag.
Bogen lægger også vægt på kommunernes rolle. Her beskrives usikkerheden om, hvorvidt kommunerne var omfattet af NIS2 og om, hvordan den danske lovgivning endte med at placere kommunerne som omfattede enheder.
Det gør emnet konkret: Hjemmepleje, borger.dk, journalsystemer, skole-it, forsyning og kriseberedskab er ikke bare administrative systemer. Det er funktioner, hvor digitale problemer hurtigt kan blive til problemer for borgere.
Et andet vigtigt tema er leverandøransvaret. NIS2 handler ikke kun om organisationens egne systemer, men også om de samarbejdspartnere, fællesskaber og leverandører, der indgår i driften. Bogen peger blandt andet på, at kommuner og andre organisationer skal kunne stille krav, føre tilsyn og vurdere risici i forsyningskæden.
Forfatterne skriver til et publikum, der både tæller ledere, GRC-ansvarlige, it-sikkerhedsfolk, leverandører, studerende og andre, der skal forstå, hvorfor NIS2 ikke bare er endnu et stykke regulering oven på bunken.
Det gør potentielt bogen relevant for alle, der arbejder med it-sikkerhed, compliance, governance eller samfundskritiske funktioner.
