Hvornår trådte NIS2 i kraft?

Direktivet trådte i kraft i januar 2023, og EU-landene skulle have det omsat til national lov senest 17. oktober 2024. Danmark var forsinket med implementeringen, men kravene gælder, og tilsynet er ikke afhængigt af, at man selv har nået at forberede sig.

Er små virksomheder omfattet af NIS2?

Hovedreglen er nej. Grænsen går ved mellemstore virksomheder, altså fra 50 ansatte eller 10 mio. euro i omsætning, inden for de omfattede sektorer. Men der er undtagelser, hvor størrelsen ikke betyder noget, blandt andet visse udbydere af digital infrastruktur og tillidstjenester.

Hvad koster NIS2-implementering?

Det afhænger helt af, hvor I står i forvejen. Har I allerede et ledelsessystem, en fungerende backup og styr på adgangene, er der tale om at dokumentere og lukke huller. Starter I fra bunden, er det et projekt. En gap-analyse giver et realistisk tal, før I forpligter jer.

Vi er omfattet af både NIS2 og ISO 27001. Skal vi gøre det hele to gange?

Nej. Et ISO 27001-ledelsessystem dækker en stor del af NIS2's dokumentationskrav. Vi planlægger dem sammen, så arbejdet laves én gang.

Hvad koster det at komme i mål?

Det afhænger af hvor I står. Vi starter med en gennemgang til fast pris, der giver en prioriteret liste og et estimat, i stedet for et tilbud på et projekt ingen kender omfanget af endnu.

Skal vi vælge ISO 27001 eller D-mærket?

Det afhænger af hvem der spørger. D-mærket er dansk, hurtigere at opnå og henvender sig til kunder og forbrugere. ISO 27001 er international og er ofte det store kunder og udbud kræver. Har I begge behov, bygges grundlaget én gang og bruges til begge.

Alle ydelser

NIS2, DORA, ISO 27001 og D-mærket: hvad kræver de af jer?

Kravene kommer nu fra flere sider på én gang: NIS2 for forsyning og produktion, DORA for finans, ISO 27001 og D-mærket når kunderne beder om et bevis, GDPR hele vejen igennem, og EU's AI-forordning oveni for dem der bygger med AI. Vi oversætter dem til noget konkret: hvem er omfattet, hvad skal der gøres, og hvad kan dokumenteres.

Book en gratis rådgivningssamtale Se alle ydelser

Base: Aarhus, Danmark
Team: Ét hold hele vejen
Erfaring: Seniorudviklere
Svartid: Samme arbejdsdag

Krav oversat til opgaver

Ikke en rapport der beskriver reglerne, men en liste over hvad der skal laves, i hvilken rækkefølge, og hvad det koster.

Vi bygger og dokumenterer selv

Overvågning, backup, adgangsstyring og logning er ting vi leverer i forvejen. Dokumentationen følger med driften.

NIS2: hvem er omfattet, og hvad kræves der?

To ting afgør det: hvilken sektor I er i, og hvor store I er. Direktivet skelner mellem væsentlige enheder (energi, transport, bank, finansiel infrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, ikt-servicestyring, offentlig forvaltning og rummet) og vigtige enheder (post og kurér, affald, kemikalier, fødevarer, fremstilling, digitale udbydere og forskning). Hovedreglen er, at mellemstore virksomheder og opefter i de sektorer er omfattet, altså fra 50 ansatte eller 10 mio. euro i omsætning. Nogle typer er omfattet uanset størrelse, blandt andet dele af den digitale infrastruktur.

NIS2-kravene, konkret

Kernen er risikostyring. I skal have foranstaltninger, der står mål med den risiko I løber: politikker for risikoanalyse og informationssikkerhed, håndtering af hændelser, forretningskontinuitet og backup, sikkerhed i leverandørkæden, sikkerhed ved indkøb og udvikling af systemer, procedurer til at måle om det virker, uddannelse, kryptografi, adgangsstyring, aktivstyring og multifaktorgodkendelse. Det er ikke en tjekliste, man køber sig fra, det er et ledelsessystem, der skal kunne dokumenteres.

DORA-forordningen for finanssektoren

DORA (Digital Operational Resilience Act) stiller krav til digital modstandsdygtighed i den finansielle sektor og gælder også for de IT-leverandører sektoren bruger. Kravene handler om risikostyring, hændelsesrapportering, test af modstandsdygtighed og styring af tredjepartsleverandører. Er I omfattet, overlapper meget af arbejdet med NIS2 og ISO 27001, det er værd at planlægge dem samlet frem for som tre projekter.

ISO 27001-certificering

ISO 27001-certificering kræver et ledelsessystem for informationssikkerhed, der rent faktisk bliver brugt, ikke en mappe med politikker. Mange oplever processen som overvældende, ikke fordi kravene er urimelige, men fordi de sjældent matcher hvordan man allerede arbejder. Vi bygger et ISMS der passer til jeres drift, og fører jer frem til certificeringen. Et fungerende ledelsessystem dækker samtidig en stor del af den dokumentation NIS2 forventer.

D-mærket

D-mærket er den danske mærkningsordning for IT-sikkerhed og ansvarlig dataanvendelse, bakket op af blandt andre Dansk Erhverv, Dansk Industri, SMV Danmark og Forbrugerrådet Tænk. Det er et mærke I kan vise kunder og samarbejdspartnere, ikke en international standard som ISO 27001. Forløbet begynder med en gratis selvevaluering og fortsætter med en audit, hvorefter mærket gælder et år ad gangen og skal fornyes. Kravene overlapper i vidt omfang med NIS2 og GDPR, så har I arbejdet med dem, er en stor del af grundlaget allerede på plads. Vi hjælper med selvevalueringen, med at lukke hullerne den finder, og med at stille dokumentationen op til auditten.

EU's AI-forordning

AI-forordningen stiller krav til hvordan AI-systemer bygges, dokumenteres og overvåges, gradueret efter risiko. For de fleste virksomheder handler det ikke om forbudte systemer, men om at kunne redegøre for hvad et system gør, hvilke data det er bygget på, og hvem der har ansvaret. Bygger I med AI, eller lader en AI skrive koden, er det klogere at få det dokumenteret undervejs end at rekonstruere det bagefter.

Hvorfor det er billigere at gøre samlet

De fire regelsæt beder i vidt omfang om det samme: styr på adgange, logning, backup der er testet, overvågning, og en plan for hvad der sker når noget går galt. Behandles de som fire projekter, laves arbejdet fire gange. Behandles de som ét, er hovedparten dækket når det første er på plads.

Ofte stillede spørgsmål

Hvornår trådte NIS2 i kraft?: Direktivet trådte i kraft i januar 2023, og EU-landene skulle have det omsat til national lov senest 17. oktober 2024. Danmark var forsinket med implementeringen, men kravene gælder, og tilsynet er ikke afhængigt af, at man selv har nået at forberede sig.
Er små virksomheder omfattet af NIS2?: Hovedreglen er nej. Grænsen går ved mellemstore virksomheder, altså fra 50 ansatte eller 10 mio. euro i omsætning, inden for de omfattede sektorer. Men der er undtagelser, hvor størrelsen ikke betyder noget, blandt andet visse udbydere af digital infrastruktur og tillidstjenester.
Hvad koster NIS2-implementering?: Det afhænger helt af, hvor I står i forvejen. Har I allerede et ledelsessystem, en fungerende backup og styr på adgangene, er der tale om at dokumentere og lukke huller. Starter I fra bunden, er det et projekt. En gap-analyse giver et realistisk tal, før I forpligter jer.
Vi er omfattet af både NIS2 og ISO 27001. Skal vi gøre det hele to gange?: Nej. Et ISO 27001-ledelsessystem dækker en stor del af NIS2's dokumentationskrav. Vi planlægger dem sammen, så arbejdet laves én gang.
Hvad koster det at komme i mål?: Det afhænger af hvor I står. Vi starter med en gennemgang til fast pris, der giver en prioriteret liste og et estimat, i stedet for et tilbud på et projekt ingen kender omfanget af endnu.
Skal vi vælge ISO 27001 eller D-mærket?: Det afhænger af hvem der spørger. D-mærket er dansk, hurtigere at opnå og henvender sig til kunder og forbrugere. ISO 27001 er international og er ofte det store kunder og udbud kræver. Har I begge behov, bygges grundlaget én gang og bruges til begge.

Er vi de rigtige til opgaven?

Vi siger nej til opgaver, vi ikke er de rigtige til, og vi siger det højt, når en idé ikke bærer. Det er billigere at høre i en samtale end at opdage efter tre måneder.

En rådgivningssamtale tager en halv time og forpligter ingenting. I fortæller, hvad I står med. Vi siger ærligt, om vi kan løse det.

Lad os tage en snak om det.

Book en gratis rådgivningssamtale

Andre ydelser