När man pratar om cybersäkerhet är det lätt att hamna i ytterligheter.
I ena änden finns stora organisationer med säkerhetsteam, omfattande styrmodeller, tekniska säkerhetslösningar, kontinuerliga granskningar och långa kontrollistor. I den andra finns mindre företag där IT kanske sköts av några få personer eller tillsammans med en extern partner.
Ändå kan båda omfattas av samma övergripande regulatoriska krav.
Så betyder det att det mindre företaget ska försöka bygga samma säkerhetsapparat som den stora koncernen?
Nej. Men det betyder inte att kraven kan ignoreras.
NIS2 innehåller en viktig princip: proportionalitet
NIS2 kräver att organisationer som omfattas vidtar lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera cybersäkerhetsrisker.
Vid bedömningen av vad som är proportionerligt ska bland annat organisationens storlek och riskexponering samt sannolikheten för och konsekvenserna av incidenter beaktas. Även kostnaden för genomförandet nämns i artikel 21. [nis-2-directive.com], [eur-lex.europa.eu]
Det är en viktig sak. NIS2 säger alltså inte att varje organisation ska bygga exakt samma säkerhetsorganisation.
Däremot finns centrala områden som behöver hanteras. Artikel 21 omfattar bland annat riskanalys och informationssäkerhet, incidenthantering, kontinuitet och krishantering, leverantörskedjan, säkerhet vid utveckling och underhåll av system, bedömning av säkerhetsåtgärdernas effektivitet, cyberhygien och utbildning, kryptografi, åtkomstkontroll och användning av MFA där det är lämpligt. [nis-2-directive.com]
Enklare behöver inte betyda sämre
Det tycker jag är en viktig poäng, särskilt för mindre och medelstora företag. En process kan vara enkel och fortfarande fungera bra. Roller och ansvar kan beskrivas på några sidor istället för i en omfattande styrmodell. Riskhantering behöver inte innebära ett dyrt GRC-system. Incidentberedskap behöver inte innebära en tjock pärm med processbeskrivningar.
Men någon måste veta vad som ska hända när incidenten inträffar.
Det är där jag tycker att diskussionen ibland hamnar snett. Vi börjar mäta säkerhet i antal dokument, kontroller och tekniska lösningar istället för att fråga om organisationen faktiskt kan hantera sina risker.
Samtidigt är ”vi är små” aldrig ett frikort
Proportionalitet kan också misstolkas åt andra hållet. Ett mindre företag kan ha en mycket kritisk verksamhet, känslig information eller stora beroenden av enskilda system och leverantörer.
Storleken är bara en av faktorerna. NIS2 pekar också uttryckligen på riskexponering och på sannolikheten för och konsekvenserna av incidenter.
Ett litet företag med stora risker kan därför behöva mycket starka säkerhetsåtgärder på vissa områden.
Den viktiga frågan är inte:
Hur stora är vi?
utan snarare:
Vad kan hända, vad skulle konsekvensen bli för just vårt bolag och vad behöver vi göra för att hantera risken?
Standarder är hjälpmedel, inte organisationens identitet
NIS2 säger också att relevant europeisk och internationell standardisering, där tillämpligt, ska beaktas när säkerhetsnivån bestäms. Standarder och etablerade ramverk kan därför ge struktur och hjälpa en organisation att undvika blinda fläckar.
Men det praktiska säkerhetsarbetet börjar fortfarande med organisationens verklighet.
- Vilka system är kritiska?
- Vilken information behöver skyddas?
- Vilka leverantörer är verksamheten beroende av?
- Vad händer om ett centralt system ligger nere?
- Vem fattar beslut vid en allvarlig incident?
- Vet organisationen vem som ansvarar för vad?
Det är frågor som också hjälper till att avgöra hur mycket säkerhet som faktiskt behövs.
Målet borde inte vara maximal säkerhet
Här skulle jag vilja utmana lite.
Jag tror inte att målet för ett företag borde vara så mycket cybersäkerhet som möjligt bara för att. Istället borde målet vara rätt cybersäkerhet för verksamheten och speciellt riskerna.
Och det är kanske en av de viktigaste frågorna för ledningen i ett NIS2-arbete:
Kan vi förklara och har vi dokumenterat vilka våra viktigaste risker är, vilka åtgärder vi har valt och varför vi bedömer att de är tillräckliga?
Om svaret är ja har man kommit betydligt längre än genom att bara fylla i ännu ett frågeformulär.
Passar säkerhetsnivån faktiskt er verksamhet?
Styra hjälper företag att gå från krav och frågelistor till en praktisk bild av risker, ansvar och prioriterade åtgärder. Läs gärna min kostnadsfria NIS2-guide för företagsledningen eller kontakta mig om du vill diskutera hur det ser ut hos er.