NIS2; risikoer og muligheter for bedrifter

Innledning og regulatoriske referanser

NIS er et akronym som står for «nettverks- og informasjonssikkerhet».

Med dette akronymet hadde Det europeiske fellesskap til hensikt å betegne den lovgivningsmessige innsatsen for å definere en standardisert tilnærming til cybersikkerhet i alle EUs medlemsstater.

I 2018 ble den første europeiske forskriften kalt NIS1 (EU-direktiv 2016/1148) vedtatt, og ble gjennomført på nasjonalt nivå ved lovdekret 65 av 18.05.2018.

NIS-dekretet sørget også for vedtakelse av en «nasjonal strategi for cybersikkerhet» ved å opprette det italienske CSIRT-et (Computer Security Incident Response Team) med tekniske oppgaver knyttet til forebygging, respons på og overvåking av cyberhendelser, i samarbeid med europeiske CSIRT-er.

NIS1 ble senere erstattet av NIS2 (EU-direktiv 2022/2555); implementert på nasjonalt nivå ved lovdekret 138 av 4. september 2024.

NIS 2 har som mål å overvinne begrensningene i NIS 1; som ga for mye skjønn til medlemsstatene under gjennomføringen, noe som resulterte i at målet om harmonisering ikke ble oppnådd; og ekskluderte også visse kategorier av enheter som burde vært regulert på grunn av deres betydning for det europeiske markedet.

Videre ble NIS2 introdusert for å svare på økningen i digitaliseringstakten som har funnet sted i alle medlemsstater og som har blitt akselerert av pandemien, noe som har utvidet overflaten for cyberangrep uten en tilsvarende økning i sikkerhetssystemer.

Til slutt er et annet mål med NIS2 å forplikte operatører av essensielle og viktige tjenester og leverandører av digitale tjenester til å iverksette tilstrekkelige sikkerhetstiltak og rapportere hendelser raskt til de kompetente myndighetene og brukerne av tjenestene deres.

Det nye direktivet er tilpasset andre spesifikke europeiske sektorforskrifter, inkludert:

– Direktivet om digital operasjonell robusthet for finanssektoren (DORA). Dette er forordningen som ble godkjent 11.10.2022 med sikte på å øke sikkerhetstiltakene til fordel for robusthet og cybersikkerhet i finanssektoren gjennom implementering av en rekke obligatoriske sikkerhetstiltak som garanterer informasjonens integritet og cybersikkerheten til tjenester;

– Direktivet om robusthet overfor kritiske enheter (CER); som har som mål å sikre juridisk klarhet og konsistens mellom de ulike direktivene.

De aktuelle selskapene har blitt delt inn i:

• Essensielle enheter (energi; transport; helse; vannforsyning; offentlig forvaltning; finans; romfart; digital infrastruktur)
• Viktige enheter (forskning; kjemikalier; mat; industriproduksjon; digitale leverandører; posttjenester; avfall)
• Offentlige organer: Sentralmyndighetene (konstitusjonelle og konstitusjonelt relevante organer; Statsministerens kontor og departementer; skatteetater; Uavhengig administrative myndigheter) | Regionale myndigheter (regioner og autonome provinser) | Lokale myndigheter (storbyer; kommuner med > 100 000 innbyggere; regionale hovedsteder; lokale helsemyndigheter) | Andre offentlige enheter (økonomiske reguleringsorganer; leverandører av økonomiske tjenester; foreninger; velferd; leverandører av fritids- og kulturtjenester; forskningsorganer og -institusjoner; eksperimentelle zooprofylaktiske institutter) | Andre typer enheter (enheter som tilbyr lokale offentlige transporttjenester; utdanningsinstitusjoner som utfører forskningsaktiviteter; enheter som utfører aktiviteter av kulturell interesse; interne selskaper; investerte selskaper og offentlig kontrollerte selskaper)
• Leverandører: Organisasjoner som leverer kritiske tjenester til enheter som er berørt av NIS2 må styrke sin digitale sikkerhet, selv om de eksplisitt er inkludert i de obligatoriske Bransjer .

Innhold i NIS2

De generelle forpliktelsene som ligger i innholdet i NIS2 kan oppsummeres på grunnlag av fire hovedpilarer:

Styring: Ledelsen må godkjenne risikostyringstiltakene som er vedtatt av organisasjonen og vurdere effektiviteten deres over tid: følge regelmessig opplæring i cybersikkerhetsspørsmål og tilby lignende opplæring til ansatte.

Risikostyring: Organisasjonen må vurdere sikkerhets- og nettverksrisikoer og iverksette passende og forholdsmessige tekniske, operative og organisatoriske tiltak for å forhindre eller minimere virkningen av hendelser på mottakerne av tjenestene.

Driftskontinuitet: organisasjonen må ta i bruk løsninger for å sikre driftskontinuitet (f.eks. sikkerhetskopier, katastrofeberedskapsplan og krisehåndteringsprosedyre); med sikte på å minimere virkningen av eventuelle avbrudd i tjenestene som leveres.

Leveringskjede: Selskapet må vurdere sårbarhetene til hver direkte leverandør og den generelle kvaliteten på leverandørenes produkter og cybersikkerhetspraksis. Vurderingen vil omfatte IKT-leverandører og andre kritiske leverandører som kan forårsake forstyrrelser i tjenesten som organisasjonen er inkludert i NIS2-perimeteret for.

Selskaper vil derfor bli pålagt å kunne måle og rapportere om:

• Risikoanalyse og sikkerhetspolicyer for informasjonssystemer
• Prosedyrer for hendelseshåndtering
• Løsninger for forretningskontinuitet (sikkerhetskopiering og katastrofegjenoppretting) og krisehåndterings- og kommunikasjonsprosedyrer
• Sikkerhetspolicyer for forsyningskjeden (leverandører og tjenesteleverandører)
• Sikkerhet ved anskaffelse, utvikling, vedlikehold og håndtering av sårbarheter i informasjonssystemer og nettverk

NIS2-tidslinje

Bedrifter og offentlige forvaltninger må gjennomføre en vurdering for å forstå om de er underlagt forpliktelsene i NIS2-direktivet.

Fra 1. desember 2024 til 28. februar 2025 skal bedrifter ha autentisert seg på ACN-portalen (National Cybersecurity Agency) med SPID-legitimasjonen sin. I løpet av denne perioden skal brukere være utpekt som /Registreringstjeneste.

Spesielt er selskaper pålagt å:

• Angi om enheten er en del av en gruppe selskaper, og oppgi skattekoden til morselskapet hvis aktuelt.
  
• List opp de tilknyttede selskapene og oppgi skattekodene deres.
  
• List opp ATECO-kodene som beskriver enhetens aktivitet.
• Angi relevante sektorforskrifter i EU.
• Oppgi tall for omsetning, balanse og antall ansatte for å bestemme selskapets kategori.
• List opp hvilke typer enheter selskapet tilhører.

Innen 17. januar 2025 skal operatører av toppnivådomeneregistre; leverandører av domenenavnsystemer og domenenavnregistreringstjenester; skytjenester; datasentre; leverandører av innholdsleveringsnettverk; leverandører av administrerte tjenester; leverandører av administrerte sikkerhetstjenester; samt leverandører av markedsplasser på nett; leverandører av søkemotorer på nett og leverandører av sosiale nettverkstjenester ha registrert seg på plattformen.

Innen 31. mars 2025 hadde ACN utarbeidet en liste over essensielle og viktige enheter basert på registreringene mottatt gjennom plattformen.

Mellom 1. april 2025 og 15. april 2025 varslet ACN de berørte enhetene om de var blitt inkludert på listen over essensielle eller viktige enheter.

Innen 15. april 2025 skulle enhetene som mottok varselet, gjennom en spesifikk lov, utnevne en enhet som er ansvarlig for å oppfylle forpliktelsene i dekretet.

Etter det må enhetene som er berørt av direktivet, overholde ytterligere krav:

• innen 1. januar 2026; rapporteringsplikt for hendelser
• innen 1. oktober 2026; forpliktelser angående forvaltningsorganer og sikkerhetstiltak må være oppfylt

ACN vil oppdatere listen over involverte enheter hvert år. Bedrifter og offentlige forvaltninger vil ha muligheten til å registrere seg hvert år, mellom januar og februar, hvis de anser seg selv for å være blant de berørte enhetene.

Risikoer for selskaper, men også muligheter

Etter at NIS2 er trådt i kraft og de involverte operatørene er identifisert, kan de kompetente myndighetene utføre overvåking og stikkprøvekontroller for å bekrefte at de overholder direktivet. Ved manglende overholdelse vil det bli ilagt sanksjoner mot de involverte selskapene.

Straffene er svært strenge: for store selskaper; opptil 10 millioner euro eller 2 % av den globale omsetningen; for mellomstore bedrifter; opptil 7 millioner euro eller 1,4 % av den globale omsetningen.

Selv om overholdelse av regelverket krever en tydelig innsats og investering fra selskapenes side, må det også erkjennes at regelverket i seg selv tar sikte på å gi en betydelig løsning på problemet med cyberangrep, som italienske selskaper fortsatt er svært utsatt for, og som de ofte har en tendens til å dekke over av imagehensyn. Økonomisk sett er den estimerte gjennomsnittlige skaden for hvert enkelt cyberangrep mer enn 2 millioner euro, uavhengig av selskapets omsetning.

Hvordan ERA kan hjelpe med NIS2-samsvarshåndtering

Til tross for alt det ovennevnte; som kan tyde på at selskaper er ekstremt interesserte og involverte i cybersikkerhetsspørsmål; er det ikke uvanlig, spesielt blant små og mellomstore bedrifter, å finne selskaper som har gjort lite eller ingenting. Om disse problemstillingene og er for øyeblikket ikke i stand til å definere sin posisjon når det gjelder risikoene de er utsatt for, både fra et teknisk synspunkt og når det gjelder samsvar med de ulike eksisterende regelverkene.

Noen selskaper håndterer cybersikkerhet gjennom forsikringsdekning. Forsikringsselskaper er imidlertid ofte motvillige til å tilby denne typen beskyttelse til selskaper som aldri har tatt konkrete grep innen cybersfæren. Dette er fordi det ikke finnes noen pålitelig metode for å nøyaktig estimere skaden forårsaket av et cyberangrep. Som et resultat fokuserer «NIS2-pakker» på cyberrisikovurderingstjenester, men lar det være opp til selskapene å iverksette nødvendige tiltak for å håndtere eventuelle mangler. ERA kan tilby en mer omfattende tjeneste, og stole på et nettverk av høyt kvalifiserte leverandører til svært konkurransedyktige kommersielle vilkår.

I detalj består ERAs støtte av:

• En vurdering av selskapets organisatoriske og tekniske struktur; ved hjelp av selvevalueringsspørreskjemaer med forhåndsdefinerte indikatorer;
• Bevisstgjørings- og opplæringskurs; med grunnleggende kurs for alle ansatte og avanserte moduler for topp- og mellomledelse; i tråd med NIS2-retningslinjene;
• Spesifikke og høyt kvalifiserte tester for sårbarhetsanalyse; phishing-behandling og risikovurdering av ransomware;
• Støtte fra dedikerte konsulenter i utbedringsfasen etter vurderingen;
• Spesialisert støtte fra dedikerte konsulenter for å veilede strategiske beslutninger innen cybersikkerhet.

Løsningen vår inkluderer analyse av samsvar med NIS2-forskriftene, noe som absolutt er den mest presserende bekymringen, men den kan også følge kunden i prosjektledelsen av utbedringsfasen, dvs. fasen der kunden må utbedre de ulike «feilene» som er identifisert i diagnoseprosessen, og er fasen der vanskelighetene til noen selskaper er mest tydelige, både når det gjelder intern kompetanse og tilgjengeligheten av tid og ressurser.