NIS 2 står for Net- og Informationssikkerhedsdirektiv 2. Det er en opdatering af det oprindelige NIS-direktiv, der blev vedtaget af EU-Parlamentet for at styrke cybersikkerheden og beskytte vigtige samfunds- og digitale tjenester i EU.

I forhold til NIS (1) udvider NIS 2 dækningen af sektorer, skærper sikkerhedskravene og introducerer strammere tilsyn samt mulighed for at holde ledelsen ansvarlig for cybersikkerhed. Formålet er at etablere et mere robust og harmoniseret cybersikkerhedsmiljø på tværs af medlemslandene. 

Deadline for implementering og eferlevelse af kravene er ultimo 2024. Men skal I efterleve kravene?

Der er undtagelser, men som udgangspunkt lægger direktivet op til, at alle private- og offentlige enheder der varetager vigtige funkitoner i samfundet, skal efterleve kravene. 

Det omfatter primært enheder med minimum 50 ansatte og en årlig omsætning på 10 mio. euro eller en årlig balance på 43 mio. euro. 

Man skal samtidigt være opmærksom på, at der skelnes mellem "væsentlige enheder" eller "vigtige enheder", som enten leverer ydelser eller afvikler deres aktiviteter indenfor EU.

I Danmark er der pt. omkring 1.500 berørte enheder.

Som skrevet er der undtagelser. For mikrovirksomheder og små virksomheder, det vil sige virksomheder, der har under 50 ansatte og en årlig omsætning eller samlet årlig balance på under 10 mio. EUR, er som udgangspunkt ikke omfattet af NIS2-direktivet uanset, at de kategoriseres som væsentlige eller vigtige enheder. Den enkelte medlemsstat kan samtidigt beslutte at undtage enheder indenfor forsvar, national sikkerhed og retshåndhævelse fra NIS 2. 

På trods af undtagelsen er der dog alligevel visse mikro- og små virksomheder, der er alligevel er omfattet. Det er:

• Udbydere af offentlige elektroniske kommunikationsnet eller offentlige tilgængelige elektroniske kommunikationstjenester
• Tillidstjenesteudbydere (valideringstjenester)
• Udbydere af topdomænenavneregistre (TLD) og domænenavnssystemer (DNS)
• Enheder, der er eneudbyder af en ydelse i en medlemsstat, som er væsentlig for vedligeholdelsen af kritiske samfundsmæssige eller økonomiske aktiviteter
• Enheder, der leverer ydelser der er kritiske for samfundet, offentligheden eller en konkret sektor.

Der skal laves passende og forholdsmæssige tekniske og organisatoriske foranstaltninger for at håndtere risikostyringen og begrænse skaderne ved et eventuelt sikkerhedsbrud. Disse omfatter som minimum:

• Politikker for risikoanalyse og informationssikkerhed
• Håndtering af hændelser
• Driftskontinuitet og krisestyring
• Forsyningskædesikkerhed
• Sikkerhed ifm. net og informationssystemer inkl. offentliggørelse af sårbarheder
• Politikker og procedurer til at vurdere effektiviteten af måden, sikkerhedsrisici håndteres
• Retningslinjer for basal “computer hygiejne” og træning i cybersikkerhed
• Politikker for brug af kryptografi og kryptering
• Medarbejdersikkerhed, adgangskontrol og asset management
• Sikring af interne kommunikationssystemer.

Der er oprettet nationale Computer Incident Response Teams (CSIRT), som skal underrettes om væsentlige hændelser og cybertrusler. I Danmark håndteres dette af Center for Cybersikkerhed (CFCS). Underretningen skal ske ske hurtigst muligt og indenfor 24 timer.

En hændelse anses som væsentlig, hvis den eller cybertruslen har forårsaget eller potentielt kan forårsage væsentlige leverings- eller driftsforstyrrelser eller økonomiske tab for enheden, eller hvis hændelsen har påvirket eller kan påvirke andre personer gennem betydelige materielle eller immaterielle tab.