Artikkel 21 a-j
De 10 tiltakene, oversatt til arbeid
| Punkt | Kravområde | Hva en SMB faktisk gjør |
|---|---|---|
| a | Risikopolicy og informasjonssystemsikkerhet | Lag en risikoprosess med eiere, kriterier, tiltak, frister og ledelsesrapportering. |
| b | Hendelseshåndtering | Definer varslingsløp, roller, kontaktlister, logg, beslutninger og etterarbeid. |
| c | Kontinuitet og krisehåndtering | Lag backup-/restore-test, beredskapsplan, prioriterte tjenester og øvelser. |
| d | Leverandørkjede | Klassifiser kritiske leverandører, still sikkerhetskrav og følg opp underleverandører. |
| e | Sikker anskaffelse, utvikling og vedlikehold | Bygg sikkerhetskrav inn i innkjøp, endringer, patching, utvikling og akseptansetester. |
| f | Måling av tiltak | Test om tiltak virker: sårbarheter, restore, tilgangsreview, øvelser og internrevisjon. |
| g | Cyberhygiene og opplæring | Gjennomfør MFA, patching, phishingtrening, rollebasert opplæring og sikkerhetskultur. |
| h | Kryptografi og kryptering | Avklar kryptering for data i ro/i transitt, nøkkelhåndtering og unntak. |
| i | HR-sikkerhet, tilgangskontroll og asset management | Ha onboarding/offboarding, tilgangsreview, minst privilegium og oversikt over verdier. |
| j | MFA og sikker kommunikasjon | Bruk MFA, sikre tale/video/tekst der relevant og etabler rutiner for sikre kommunikasjonskanaler. |
ISO 27001-kobling
Hvor ISO 27001 hjelper
ISO 27001 gir en struktur for ledelsesansvar, risikostyring, kontroller, internrevisjon og forbedring. Sammenlign NIS2-kravene med styringssystemet og dokumenter hva som mangler. Sertifisering alene bekrefter ikke NIS2-etterlevelse.
Bruk styringssystemet dere har
Bruk risikovurdering, Statement of Applicability og behandlingsplan til å styre tiltakene.
27005 for risiko
ISO 27005 gir et språk for risiko som gjør NIS2-tiltak lettere å prioritere.
Kontrollbevis
Dokumenter at tiltak er gjennomført og testet, ikke bare at de er beskrevet.
Prioritering
Hva bør dere gjøre først?
- Få oversikt over tjenester og verdier. Hva må fungere, og hvilke systemer støtter det?
- Gjør en NIS2 gap-analyse. Ikke start med dokumentmaler før dere vet hvor gapene er.
- Rydd i tilgang og MFA. Dette er ofte raskt, målbart og viktig.
- Test backup og hendelsesrutiner. Beredskap uten test er en antakelse.
- Gjennomgå kritiske leverandører. Mange NIS2-avvik sitter i kontrakter og manglende oppfølging.
FAQ
Vanlige spørsmål
Dekker ISO 27001 alle NIS2-krav?
Nei, men det er et godt fundament. Du må fortsatt se på NIS2-rapportering, nasjonal gjennomføring, sektorforventninger og leverandørkjede.
Må vi sertifiseres?
Ikke nødvendigvis. Sertifisering kan hjelpe kommersielt og metodisk, men etterlevelse krever først reelle tiltak, ansvar og dokumentasjon.
Vil du vite hvilke krav som mangler?
En kort gap-analyse mot artikkel 21 gir et prioriteringskart før dere bruker tid på feil tiltak.