Nytt NIS2-direktiv: Nye regler for forbedret nettsikkerhet

Cyberattacker förökar sig och blir allt mer sofistikerade. Attackerna 2022 gjorde det klart att cyberhot som ransomware , nätfiske och presidentbedrägerier inte gör någon skillnad mellan små, medelstora och stora företag. Denna trend mot “supply chain attacker”, där underleverantörer är inriktade på att infiltrera sina kunders nätverk, har ökat, med anmärkningsvärda kompromisser som SolarWinds. 2020 avslöjade SolarWinds, ett företag som specialiserat sig på nätverkshantering och IT-säkerhetsprogramvara, att det hade infiltrerats av cyberbrottslingar som äventyrat dess Orion-programvara. Denna attack gjorde det möjligt för angriparna att distribuera skadliga uppdateringar av denna programvara till många klientorganisationer. Angriparna lyckades infoga skadlig kod i uppdateringar för SolarWinds Orion-programvara, vilket ledde till att nätverken av många företag och statliga myndigheter som använder programvaran kompromissade. Denna brett publicerade attack kallades en “supply chain attack”, eftersom den utnyttjade användarnas förtroende för programuppdateringar från en ansedd källa. SolarWinds-attacken fick långtgående återverkningar och lyfte fram potentiella sårbarheter i mjukvaruförsörjningskedjan, vilket fick många företag att stärka sina säkerhetsåtgärder för att skydda sig mot sådana attacker. Istället för att attackera selskaper velger direkte Nettkriminelle bruker i økende grad underleverandørene sine for å enklere trenge inn i kundenes nettverk. Alle selskaper er nå sårbare for nettangrep. Små og mellomstore bedrifter har 4,5 ganger større sannsynlighet for å bli ofre for cyberangrep enn større selskaper til sammen. De er spesifikt målrettet mot skadelig programvare som kan kryptere informasjonssystemene deres og ødelegge sikkerhetskopiene deres. Denne tilnærmingen har vist seg å kunne forårsake forretningssvikt i de mest alvorlige tilfellene. Dette understreker viktigheten av at alle selskaper er forberedt på ethvert angrep.

På denne bakgrunnen er NIS2-direktivet (direktiv om sikkerhet i nettverks- og informasjonssystemer) en viktig utvikling som tar sikte på å styrke beskyttelsen av digitale infrastrukturer i Europa. NIS2-direktivet, etterfølgeren til NIS 1-direktivet, er ett av en rekke store initiativer som tar sikte på å skape et mer robust og harmonisert rammeverk for sikkerheten i nettverks- og informasjonssystemer. For mange bedrifter er dette nye direktivet gjenstand for mye debatt og spørsmål. Hva vil dets innvirkning og betydning være for bedrifter og forvaltninger i EU?

Hva er NIS2-direktivet?

NIS2-direktivet (Nätverks- och informasjonssikkerhet, version 2) är en Europeisk forskrift utformad för att harmonisera och stärka nettsikkerhet inom EU. Det är efterföljaren till NIS 1-direktivet och introducerar nya åtgärder för att säkerställa en hög säkerhetsnivå för nätverk och informationssystem. NIS2-direktivet antogs i januari 2023. EU:s medlemsländer kommer att ha en viss tid på sig att införliva detta direktiv i sin nationella lagstiftning.

Hvem er berørt av NIS2?

NIS2-direktivet dekker et bredt spekter av næringssektorer. NIS2-direktivet er rettet mot private selskaper, offentlige forvaltninger og andre enheter som opererer i EU.
Et av de strategiske målene for NIS2 er å utvide omfanget av NIS till att omfatta viktiga tjänsteoperatörer och digitala tjänsteleverantörer i sektorer som bedöms som “kritiska för ekonomin och samhället”. NIS2 kommer att täcka leverantörer av offentliga elektroniska kommunikationstjänster, digitala tjänster (som täcker plattformar för sociala nätverkstjänster och datacentertjänster) och hälso- och sjukvårdstjänster, inklusive enheter som är verksamma inom sektorerna för medicintekniska produkter och biovetenskaper, i synnerhet farmaceutisk forskning och utveckling, samt tillverkare av medicintekniska produkter.

NIS 2-direktivet gjelder hovedsakelig to kategorier av enheter:

Operatører av essensielle tjenester (OSE): Essensielle enheter (EE), allerede inkludert i den første versjonen av NIS1-direktivet. OSE-er/EE-er er enheter som driver tjenester som er essensielle for samfunnet og økonomien. Dette inkluderer sektorer som energi, transport, helsevesen, bank- og finanstjenester, vann, digital infrastruktur og digitale tjenester.

Digitale tjenesteleverandører (DSP): Vesentlige enheter. DSP/IE är företag eller organisationer som tillhandahåller digitala tjänster, såsom skytjenester, onlineplattformar, sökmotorer, e-handelstjänster och andra liknande tjänster. De omfattas av direktivet om de uppfyller vissa tröskelvillkor vad gäller antalet användare eller det ekonomiska värdet av de tillhandahållna tjänsterna.

I henhold til NIS 2-direktivet kvalifiserer en enhet som vesentlig eller betydelig på grunnlag av to kriterier:

• Størrelse på enheten (antall ansatte, salg, årlig balanse);
• Forretningskritikk: hvilken type enhet refererer til aktivitetene som utføres av enheten?

Hva er de viktigste endringene sammenlignet med NIS1?

NIS 2-direktivet introduserer flere viktige endringer sammenlignet med NIS 1-direktivet, inkludert:

Utvidelse av anvendelsesområdet: NIS2 utvider direktivets virkeområde til et bredere spekter av næringssektorer og leverandører av digitale tjenester, noe som betyr at nye kategorier av virksomheter kan bli underlagt forpliktelser innen cybersikkerhet.
Forbedrede sikkerhetskrav: Direktivet stiller skjerpede sikkerhetskrav, inkludert strengere beredskaps- og hendelseshåndteringstiltak, samt strengere forpliktelser til å rapportere hendelser.
Sikkerhetspoengsum: NIS 2 introduserer et sikkerhetspoengsystem for å vurdere robustheten til PSD-er og ESO-er. Dette vil gjøre det mulig for kompetente myndigheter å identifisere aktører med høyere sikkerhetsnivåer.

NIS 2-direktivet innfører flere nye forpliktelser for de berørte enhetene. For viktige og kritiske enheter må det iverksettes nye tekniske, organisatoriske og operative tiltak:

1. Kontraktsforpliktelse for sikkerhet i forsyningskjeden. Enheter må sørge for at informasjonssikkerheten opprettholdes gjennom hele forsyningskjeden. Dette betyr at leverandører, underleverandører og andre partnere også må overholde passende sikkerhetsstandarder.
2. Rapporteringsplikt. Direktivet krever at sikkerhetshendelser med betydelig innvirkning på kontinuiteten i viktige tjenester rapporteres til de kompetente myndighetene innen en spesifisert tidsramme.
3. Ledelsesansvar. Ledelsen er ansvarlig for å sørge for at sikkerhetspolicyer og -prosedyrer implementeres, vedlikeholdes og gjennomgås regelmessig.

Hvilke tiltak må bedrifter og lokale myndigheter iverksette for å overholde NIS2-direktivet?

Bedrifter og lokale myndigheter må styrke sikkerhetsstandardene sine, etablere mekanismer for hendelsesrapportering og muligens gjennomføre risikovurderinger og sikkerhetsrevisjoner. De må også samarbeide tett med relevante nasjonale myndigheter.

Implementering av spesifikke cybersikkerhetstiltak:

• implementering av risikoanalyse og sikkerhetspolicyer for informasjonssystemer. Hver enhet må derfor gjennomgå sin struktur for å vurdere cyberrisiko,
• hendelseshåndtering,
• Etablere planer for forretningskontinuitet (BCP) og planer for katastrofegjenoppretting (DRP). Tiltak for å sikre driftskontinuitet i tilfelle en hendelse. Dette inkluderer for eksempel forsvarlig håndtering av sikkerhetskopier og krisehåndteringstiltak.
• sikkerhet ved anskaffelse, utvikling og vedlikehold av nettverk og informasjonssystemer,
• vurdering av tiltak for håndtering av cyberrisiko,
• anvendelse av kryptografiske retningslinjer og prosedyrer, og bruk av kryptografiske teknikker for å kryptere informasjon for bedre beskyttelse,
• retningslinjer for aktivaforvaltning og tilgangskontroll: eksemplarisk tilgangskontroll for å unngå inntrenging og dra nytte av robust sikkerhet,
• opplæring av ansatte i god cyberhygiene, inkludert beste praksis som skal systematiseres i hele selskapet,
• Implementering av flerfaktorautentiseringsløsninger. Flerfaktorautentisering (MFA) og sterk autentisering bør foretrekkes for økt sikkerhet.
• skyldigheten för företag att utfärda en första varning till ANSSI inom 24 timmar i händelse av en säkerhetsincident.

Hvilke risikoer står et selskap overfor hvis det ikke overholder dette direktivet?

Selskaper som ikke overholder NIS 2-direktivet kan bli ilagt økonomiske sanksjoner. NIS 2 vil innføre et system med bøter for manglende overholdelse. Maksimale potensielle bøter for manglende overholdelse kan utgjøre enten 10 millioner euro eller 2,1 TP3T av det globale årlige salget for “betydelige” enheter, eller 7 millioner euro eller 1,4 TP3T av det globale årlige salget for “betydelige” enheter. Spesielt der manglende overholdelse av NIS 2 også kan føre til et brudd på personopplysninger, vil det ikke bli ilagt bøter under EUs NIS 2- og RGPD-systemer, hvis bruddet er et resultat av den samme sikkerhetshendelsen. Videre, i tilfelle en sikkerhetshendelse som følge av manglende overholdelse, kan de holdes ansvarlige for driftsmessig eller økonomisk skade. Hver medlemsstat har til Oktober 2024 senest å implementere NIS2-direktivet i sine nasjonale regler. Det er tenkelig at noen land vil fremskynde prosessen, ettersom de nasjonale versjonene av NIS2 er basert på de eksisterende nasjonale versjonene av NIS1.

Ansvar for toppledelsen

NIS 2-direktivet betonar ansvaret för den högsta ledningen inom organisationer. Högsta ledningen måste ta en aktiv roll i hanteringen av nettsikkerhet och se till att lämpliga åtgärder finns på plats för att skydda nätverk och informationssystem.

Øk bevisstheten blant team og ledelse

Bevissthet om cybersikkerhet er avgjørende for å sikre samsvar med NIS2-direktivet. Bedrifter må investere i opplæring av sine ansatte for å gjenkjenne og forebygge cybertrusler. Ledelsen må også gjøres oppmerksom på viktigheten av cybersikkerhet og samsvar med direktivet.

NIS2-direktivet representerer en viktig milepæl i styrkingen av cybersikkerheten i Europa. Bedrifter og lokale myndigheter må iverksette umiddelbare tiltak for å overholde disse reglene, styrke sin motstandskraft mot cyberangrep og forhindre sikkerhetshendelser. Å overholde direktivet er viktig for å unngå betydelige økonomiske straffer og beskytte organisasjonens omdømme og tillit. Det finnes mange ressurser tilgjengelig for å hjelpe bedrifter med å overholde NIS2-direktivet, for eksempel veiledningene og anbefalingene publisert av ANSSI (Agence nationale de la sécurité des systèmes d’information) i Frankrike. Det er også mulig å få hjelp fra spesialiserte leverandører av cybersikkerhetstjenester for å støtte bedriften din i arbeidet.

Altospams løsninger hjelper bedrifter med å delvis overholde NIS2-direktivet ved å styrke sikkerheten til e-posten deres (den første angrepsvektoren) og beskytte informasjonssystemene deres mot cybertrusler. Altospams Mailsafe tilbyr avansert beskyttelse mot trusler, inkludert phishing-angrep, ransomware og skadelig programvare. Løsningens filtre mot spam, phishing, ransomware og malware blokkerer ondsinnede e-poster før de når brukernes innbokser. Altospams løsninger kan være en viktig del av et selskaps overordnede sikkerhetsstrategi for å oppfylle NIS2-krav. Full samsvar krever imidlertid en helhetlig tilnærming til informasjonssikkerhet og risikostyring.