Artikel 21: de tio områden riskhanteringen ska täcka

Uppräkningen i artikel 21.2 är den närmaste motsvarigheten till en kravlista som direktivet har. Den är formulerad som ett minimum, alltså vad åtgärderna åtminstone ska omfatta.

Direktivet anger inte en nivå utan en måttstock. Åtgärderna ska stå i proportion till riskexponeringen, verksamhetens storlek och konsekvenserna av en incident.

Det betyder två saker. Ett mindre bolag med begränsad exponering behöver inte samma apparat som en systemviktig aktör. Och den som hävdar en lägre ambition behöver kunna visa varför, vilket förutsätter en riskbedömning som faktiskt gjorts.

Medlemsstaterna ska säkerställa att väsentliga och viktiga entiteter vidtar lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att hantera risker som hotar säkerheten i nätverks- och informationssystem.

Rutiner för att bedöma om åtgärderna är effektiva är ett eget krav, och det är det som skiljer ett åtgärdsregister från riskhantering. En åtgärd som infördes för två år sedan och aldrig prövats är dokumenterad, inte verifierad.

Det är också punkten som kopplar till testning. Lagen namnger inte penetrationstest, men den kräver att ni har ett sätt att avgöra om skyddet fungerar, och ett verifierat test är ett av få sätt att svara på den frågan utan att gissa.

Punkt d gör säkerheten i leverantörskedjan till ett eget krav, inte till en underrubrik i inköpspolicyn. Det som ska hanteras är relationen till leverantörer och tjänsteleverantörer, inklusive deras egna säkerhetsrutiner.

Praktiskt är det den punkt som sprider regelverket längst. En verksamhetsutövare som tar sitt ansvar ställer krav nedåt, och därför träffas leverantörer som själva står utanför lagen. Det är den vanligaste vägen in i NIS2 för mindre bolag: ett säkerhetsformulär från en kund vars innehåll är hämtat ur kundens egen efterlevnad.

Punkt g omfattar grundläggande cyberhygien och utbildning i cybersäkerhet. Föreskrifterna preciserar dessutom vilken utbildning ledningen ska genomföra, vilket gör att kravet finns på två nivåer: alla i verksamheten, och ledningen särskilt.

Det är värt att hålla isär. En genomförd awareness-utbildning för personalen svarar inte på kravet som riktar sig mot ledningen.

Punkt c omfattar säkerhetskopiering, återställning efter katastrof och krishantering. De tre är olika saker, och det vanligaste gapet ligger mellan det första och det andra.

En säkerhetskopia som aldrig återställts är en obekräftad hypotes. Kravet handlar om förmågan att komma tillbaka, och den förmågan går bara att belägga genom att pröva den. Punkt f, om att bedöma åtgärdernas effektivitet, gäller alltså även här.

Artikel 21 anger områdena. Föreskrifterna anger vad som konkret ska göras inom dem, och de reglerar dessutom vilken utbildning ledningen ska genomföra.

Bygg alltså åtgärdsregistret mot båda: direktivets tio områden som struktur, och föreskrifterna från er sektorsmyndighet som innehåll.