Litt over en måned gjenstår for europeiske land og bedrifter å forberede seg på håndhevingen av den andre iterasjonen av EUs nettverks- og informasjonssystemer (NIS) direktiv.  

Loven, som skal implementeres innen 17. oktober 2024, tar sikte på å forbedre hvert EU-medlemslands evne til å takle nettkriminalitet, legge til rette for blokkdekkende deling og samarbeid om nettsikkerhetsinformasjon, og sikre at virksomheter i kritiske sektorer tar nettsikkerhet på alvor. Men hva betyr dette i praksis? 

En bredere tilnærming til cybersikkerhetsrisikostyring

Da EU introduserte det opprinnelige NIS-direktivet i 2016, hadde det som mål å styrke cybersikkerheten for kritisk infrastruktur på tvers av den politiske blokken.  

Men i erkjennelse av at cybersikkerhetstrusler har økt dramatisk de siste årene og nå påvirker praktisk talt alle bransjer, har europeiske lovgivere utvidet omfanget av NIS-kravene i den andre versjonen av direktivet.  

NIS2 dekker et bredere spekter av bransjer – inkludert matproduksjon, avfallshåndtering, posttjenester, forskning, produksjon, romfart, offentlig administrasjon og mange andre – og tar hensyn til sikkerhetsrisikoen i forsyningskjeden skapt av digitale tjenesteleverandører.  

Den deler sektorer i to områder: essensielle og viktige. Den "essensielle"-etiketten beskriver svært kritiske bransjer som energi og finansielle tjenester, tidligere skissert i NIS1. Disse organisasjonene vil ansette over 250 personer og generere inntekter på mer enn €50 millioner i året.  

På den annen side dekker kategorien «viktig» en ekstra rekke vitale bransjer, som post- og budtjenester og forskningsorganisasjoner. Bedrifter i denne kategorien vil generelt være mellomstore, sysselsetter over 50 personer og genererer årlige inntekter på mer enn €10 millioner.  

I henhold til denne loven må EUs medlemsland også sikre at de er forberedt på å håndtere alvorlige cybersikkerhetshendelser. De skal nemlig etablere responsteam for cyberhendelser og en nasjonal myndighet for nettverk og informasjonssystemer (NIS). Gjennom NIS-samarbeidsgruppen tar direktivet sikte på å forbedre samarbeid og etterretningsdeling mellom medlemsland om cybersikkerhetsspørsmål. 

Nick Palmer, en løsningsingeniør ved trusselintelligensplattformen Censys, beskriver NIS 2 som en oppgradert versjon av NIS 1 som tar sikte på å forbedre den kollektive cybersikkerheten i hvert EU-medlemsland. Han sier til ISMS.online: «Den er designet for å takle noen hull og uoverensstemmelser som kom frem med de opprinnelige reglene. Etter hvert som vår digitale verden vokser og cybertruslene blir mer sofistikerte, innså EU at det var nødvendig å styrke forsvaret sitt.» 

 Som en del av en mer omfattende nettsikkerhetstilnærming i hele EU, forklarer Ed Parsons – VP for globale markeder og medlemsrelasjoner hos non-profit ISC2 – at den inkluderer risikostyring, bedriftsansvar, hendelsesrapportering og krav til planlegging av forretningskontinuitet. Han sier: "Nøkkelsikkerhetspraksis pålagt av NIS 2 inkluderer forsyningskjedesikkerhet, nettverksbeskyttelse, kryptering, multifaktorautentisering, sårbarhetshåndtering og nettsikkerhetstrening." 

Hvorfor overholdelse er avgjørende

Fordi cybersikkerhetstrusler øker raskt i volum og sofistikering over hele verden, mener noen eksperter å overholde NIS 2 er til beste for bedrifter i alle bransjer.   

Dave Joyce, administrerende direktør for programvareleverandøren Macrium, sier at deres tilnærming til cyberresiliens på tvers av sektorer virker ekte i lys av dagens komplekse nettrussellandskap. Han er spesielt oppmuntret av dens "omfattende tilnærming til cybersikkerhet" i bedriftslandskapet, og legger til at den ikke bare fokuserer på "kjente trusler".  

"NIS 2 legger vekt på å sikre hele forsyningskjeden og nøye vurdere hvordan leverandører håndterer data - en bekymring fremhevet av hendelser som CrowdStrike-bruddet, som avslørte hull i katastrofegjenopprettingspraksis," forklarer Joyce.  

Joyce sier overholdelse er nøkkelen til å opprettholde forretningskontinuitet, kundetillit og EU-markedstilgang, samt unngå bøter på opptil €10 millioner eller 2 % av årlige internasjonale inntekter. Han fortsetter: "Til syvende og sist fremmer NIS 2-samsvar et tryggere digitalt miljø og bidrar til et sikrere globalt cyber-økosystem." 

Palmer fra Censys er en annen fast tro på NIS 2-direktivet og dets positive innvirkning på det europeiske forretningslandskapet. Han påpeker at å følge disse robuste kravene vil redusere sjansene for at virksomheter blir ofre for nettkriminalitet og nedfallet som vil følge, slik som forstyrret drift, skade på omdømme og økonomisk tap. 

"Compliance spiller også en viktig rolle i å bygge og opprettholde tillit hos kunder, partnere og interessenter, siden det viser en forpliktelse til datasikkerhet og operasjonell motstandskraft," sier han. "I det konkurranseutsatte EU-markedet kan manglende overholdelse føre til at man blir avskåret fra lukrative muligheter eller taper kontrakter til mer kompatible konkurrenter." 

I mellomtiden argumenterer Parsons fra ISC2 for at overholdelse av NIS 2 vil bedre forberede bedrifter til å håndtere nye cybertrusler, øke deres generelle forståelse av cybersikkerhetshendelser og hvordan de kan påvirke den daglige driften, og hjelpe dem med å etablere en sømløs prosess for å svare på og rapportering av trusler.  

Hvordan NIS2 gjelder for britiske organisasjoner

Selv om Storbritannia har forlatt EU, vil NIS 2-direktivet fortsatt påvirke mange britiske firmaer. I følge Ann Keefe, regiondirektør for Storbritannia og Irland hos IT-firmaet Kingston Technology, inkluderer dette britiske firmaer som handler med EUs medlemsland. Hun sier at de må følge NIS 2-kravene hvis «de ikke vil bli fanget ut» av EU-regulatorer.  

Men selv om et britisk firma ikke har EU-forretningsinteresser, kan det være i deres beste interesse å følge de omfattende NIS 2-kravene. Rob O'Connor, teknologileder og CISO i EMEA ved det globale teknologiselskapet Insight, påpeker at Storbritannias kommende Cyber ​​Security and Resilience Bill vil ha en viss crossover med NIS 2. Han foreslår at å ta i bruk NIS 2-standardene kan være en "kostnadseffektiv " måte å håndtere økende cybersikkerhetsrisiko.  

For britiske organisasjoner som er påvirket av NIS 2 sikkerhetsrisikostyring og rapporteringskrav, sier Palmer fra Censys at de må implementere sofistikerte cybersikkerhetstiltak, gjennomføre regelmessige risikovurderinger og sikre sikkerheten til forsyningskjedene deres.  

"De må rapportere betydelige sikkerhetshendelser til EU-myndighetene innen strenge tidsrammer, samarbeide under undersøkelser, og kan trenge å utnevne en EU-representant til å administrere regulatorisk kommunikasjon," sier han. "Kontrakter med EU-kunder bør inkludere NIS 2-overholdelsesklausuler, som sikrer at organisasjonen oppfyller juridiske forpliktelser og beskytter mot cybertrusler." 

Forbereder for NIS 2

Med NIS 2-overholdelsesfristen raskt nærmer seg, må bedrifter som ikke har begynt å forberede seg på ankomsten gjøre det nå. Men hvilke steg innebærer dette? I følge Parsons fra ISC2 er det første trinnet å avgjøre om et selskap må overholde NIS 2 selv eller om loven gjelder for leverandørene.  

For å gjøre dette, sier han at de må vurdere om virksomheten opererer i en «essensiell» eller «viktig» sektor i henhold til NIS-definisjonene. Parsons legger til at selskaper underlagt NIS-direktivene da må identifisere og redusere cybersikkerhetsrisikoer som en del av en omfattende risikovurdering.  

«Basert på risikovurderingen må det iverksettes hensiktsmessige tekniske og organisatoriske tiltak. Bedrifter må forberede seg på hendelser ved å lage responsplaner og prosesser for å rapportere vesentlige hendelser til relevante myndigheter, sier han. 

Joyce of Macrium gjenspeiler lignende tanker og oppfordrer bedrifter til å vurdere cyberstillingen deres og spørre seg selv om de for øyeblikket har midler til å komme seg fra en hendelse så raskt som mulig.  

Hvis ikke, anbefaler han å implementere en gjenopprettingsplan for cyberhendelser forsterket med en sikkerhetskopiløsning, gjenopprettingspunktmål (RPO) og gjenopprettingstidsmål (RTO). RPO refererer til det maksimale datatapet en bedrift kan tåle etter et cyberangrep, mens RTO er den maksimale tiden bedrifter kan klare seg uten IT-nettverk og -tjenester.  

Siden NIS 2 fokuserer spesifikt på sikkerhetsrisikoer i forsyningskjeden, råder Joyce bedrifter til å vurdere hvordan deres leverandører og partnere forholder seg til cybersikkerhetssaker. Han legger også til at selskaper må lære sine ansatte hvordan de identifiserer og rapporterer cybersikkerhetstrusler, og legger til at "klare strukturer for ansvar og rapportering er avgjørende."  

Han konkluderer: «Compliance er ikke en engangsoppgave; det krever kontinuerlig vedlikehold og årvåkenhet, så bedrifter bør holde seg informert om nye krav og fremme en kultur for kontinuerlig forbedring av cyberresiliens.»