Hur vet vi om verksamheten omfattas av NIS2?
NIS2 behöver inte bli ett tungt dokumentprojekt. Utmaningen är sällan att hitta fler kravlistor, utan att avgöra vad som är viktigast för verksamheten och vem som ska göra vad. Med en tydlig prioritering kan ni börja där riskreduktionen är störst och bygga vidare i en takt som verksamheten klarar av.
Kartlägg sektor, verksamhetens storlek, kritiska tjänster och kopplingar till kunder som omfattas. Även företag som inte träffas direkt kan möta NIS2-liknande krav i samband med avtal och upphandlingar. Dokumentera slutsatsen och vem som har gjort bedömningen.
Lista sedan de system, dataflöden och leverantörer som krävs för att leverera era viktigaste tjänster. Det är svårt att prioritera säkerhet utan att först veta vad verksamheten inte klarar sig utan.
Skriv också ner vilka antaganden och avgränsningar bedömningen bygger på. Om verksamheten går in i en ny sektor, växer, byter leveransmodell eller får ett större ansvar i en kunds kritiska tjänst kan slutsatsen behöva omprövas. En kort, daterad bedömning är därför mer användbar än ett odokumenterat ja eller nej.
Vilka risker bör vi prioritera först?
Sortera osäkerheter och identifierade luckor i fem områden: styrning, tekniskt grundskydd, incidentförmåga, kontinuitet och leverantörsstyrning. Bedöm varje lucka utifrån sannolikhet, konsekvens och hur snabbt den kan reduceras.
Snabba åtgärder är ofta MFA för alla användare, separata administratörskonton, fungerande patchrutiner, säker backup med testad återläsning och central loggning. Men tekniken behöver en ägare, en rutin och ett bevis på att kontrollen fungerar.
Utgå från verksamhetskonsekvensen när två åtgärder konkurrerar om samma tid och budget. Ett glömt gästkonto kan vara allvarligt, men en otillräckligt skyddad administratörsidentitet eller en backup som aldrig har återlästs kan få betydligt större följder. Prioriteringen ska visa vilken tjänst som hotas, hur länge verksamheten kan vara utan den och vilka kunder eller partners som påverkas.
Hur bygger vi en 90-dagarsplan?
Dag 1–30: utse ansvar, bekräfta omfattning, kartlägg kritiska tillgångar och besluta om de största riskerna. Dag 31–60: täpp till prioriterade teknikluckor och dokumentera incident- och återställningsflöden. Dag 61–90: öva, följ upp leverantörer och rapportera status till ledningen.
Varje aktivitet ska ha en ansvarig, en deadline och ett tydligt sätt att följa upp resultatet. Då blir planen ett arbetsverktyg i stället för ännu ett dokument som riskerar att bli liggande.
Lägg gärna in en kort avstämning varje eller varannan vecka. Där hanteras beroenden, försenade beslut och nya risker. För en enkel beslutslogg över vad som accepterats, åtgärdats eller skjutits fram och varför. Det gör det lättare för ledningen att se om planen faktiskt rör sig framåt.
Hur visar vi att kontrollerna fungerar?
Följ exempelvis andel användare med MFA, tid från säkerhetsuppdatering till installation, andel kritiska system med verifierad backup, tid till detektion och antal kritiska leverantörer med uppdaterade säkerhetskrav. Ett fåtal tydliga mått gör det lättare för ledningen att se framsteg och besluta om nästa prioritering.
Skilj mellan att en kontroll är införd och att den är verifierad. Ett dokumenterat krav på MFA är inte samma sak som en rapport som visar täckningen. En backupolicy är inte samma sak som ett godkänt återläsningstest. Konfigurationsutdrag, testprotokoll, mötesbeslut och avvikelser med ansvarig kan tillsammans ge den spårbarhet som behövs.
Vilka vanliga misstag bromsar NIS2-arbetet?
Ett vanligt misstag är att vänta på full juridisk säkerhet innan något praktiskt arbete börjar. Om omfattningen är osäker kan ni dokumentera osäkerheten och samtidigt stärka grundskydd, incidentförmåga och leverantörskontroll. Åtgärderna är relevanta även om den slutliga bedömningen förändras.
Ett annat misstag är att köpa fler säkerhetsverktyg innan ansvar och arbetssätt är tydliga. Teknik kan upptäcka en avvikelse, men någon måste bedöma larmet, fatta beslut och följa upp åtgärden. Undvik också att dokumentera mer än ni kan förvalta. En kort rutin som används och testas är mer värd än en omfattande policy som ingen arbetar efter.
Slutsats
NIS2 blir hanterbart när ni börjar med verksamhetens viktigaste risker och kopplar varje åtgärd till ansvar och uppföljning. Accesit kan hjälpa er att göra efterlevnad hanterbar genom att samla ansvar för drift, Microsoft 365 och dataskydd och omvandla nuläget till en konkret plan som går att genomföra.
