NIS2 risikostyring: Krav og fremgangsmåte
NIS2 risikostyring: Krav og fremgangsmåte
Risikostyring er kjernen i NIS2. Alle ti minimumskravene i artikkel 21 springer ut fra en risikobasert tilnærming: virksomheten skal identifisere risikoer, vurdere dem og implementere forholdsmessige tiltak. Uten en solid risikovurdering faller resten av NIS2-etterlevelsen sammen.
NIS2 artikkel 21(1) krever at vesentlige og viktige enheter treffer «passende og forholdsmessige tekniske, operasjonelle og organisatoriske tiltak» basert på en risikovurdering (EU-kommisjonen, 2023). Ifølge BSI Group gjennomfører bare 38 % av europeiske virksomheter regelmessige cybersikkerhetsrisikovurderinger som dekker hele virksomheten (BSI, 2024).
Nøkkelpunkter
- Bare 38 % av virksomheter gjennomfører regelmessige helhetlige risikovurderinger (BSI, 2024)
- NIS2 krever forholdsmessige tiltak basert på risikovurdering av nettverks- og informasjonssystemer
- Ti minimumskrav i artikkel 21 definerer kravområdene
- Risikovurderingen skal godkjennes av ledelsen og oppdateres regelmessig
Hva er de ti minimumskravene i NIS2 artikkel 21?
NIS2 artikkel 21(2) lister ti områder som virksomheter minimum skal adressere. EU-kommisjonen har vedtatt en gjennomføringsforordning som detaljerer hvert kravområde (EU-kommisjonen, 2024). Disse kravene er bunnlinjen. Virksomheter kan gjøre mer, men ikke mindre.
(a) Risikoanalyse og informasjonssikkerhetspolicyer
Etabler en systematisk prosess for risikoidentifikasjon, vurdering og behandling. Dokumenter sikkerhetspolicyer som dekker hele virksomheten.
(b) Hendelseshåndtering
Etabler prosesser for å oppdage, håndtere, rapportere og lære av sikkerhetshendelser.
(c) Driftskontinuitet og krisestyring
Planlegg for hvordan virksomheten opprettholder kritiske tjenester under og etter en hendelse. Inkluder backup og gjenoppretting.
(d) Leverandørkjedesikkerhet
Vurder og håndter sikkerhetsrisiko i hele leverandørkjeden.
(e) Sikkerhet ved anskaffelse, utvikling og vedlikehold
Integrer sikkerhet i hele livssyklusen for IT-systemer, fra anskaffelse gjennom utvikling til avvikling.
(f) Vurdering av sikkerhetstiltakenes effektivitet
Test og evaluer om implementerte tiltak faktisk fungerer. Bruk penetrasjonstesting, revisjoner og øvelser.
(g) Grunnleggende cyberhygiene og opplæring
Implementer grunnleggende sikkerhetspraksis og sørg for opplæring av alle ansatte.
(h) Kryptografi og kryptering
Bruk kryptografi der det er hensiktsmessig for å beskytte data.
(i) Tilgangskontroll og identitetshåndtering
Styr hvem som har tilgang til hva, basert på minste-privilegium-prinsippet.
(j) Flerfaktorautentisering og sikker kommunikasjon
Implementer flerfaktorautentisering og sikre kommunikasjonskanaler.
Citatkapsel: NIS2 artikkel 21 stiller ti minimumskrav til cybersikkerhet, og EU-kommisjonens gjennomføringsforordning detaljerer hvert kravområde, mens bare 38 % av europeiske virksomheter gjennomfører helhetlige risikovurderinger (BSI, 2024).
Trenger dere eksperthjelp med nis2 risikostyring: krav og fremgangsmåte?
Våre skyarkitekter hjelper dere med nis2 risikostyring: krav og fremgangsmåte — fra strategi til implementering. Book et gratis 30-minutters rådgivningssamtale uten forpliktelse.
Hvilken metode bør du bruke for risikovurderingen?
NIS2 foreskriver ikke en spesifikk metode. Virksomheter kan bruke den metoden som passer best for sin kontekst. ISO 27005, NIST CSF og NSMs grunnprinsipper er alle relevante rammeverk. Ifølge ENISA bruker 52 % av NIS2-virksomheter ISO 27005 som utgangspunkt (ENISA, 2024).
ISO 27005
ISO 27005 er den mest brukte standarden for cybersikkerhetsrisikovurdering. Den gir en strukturert prosess for kontekstetablering, risikoidentifikasjon, risikoanalyse, risikoevaluering og risikobehandling. For virksomheter med ISO 27001-sertifisering er ISO 27005 et naturlig valg.
NIST Cybersecurity Framework
NIST CSF gir et mer fleksibelt rammeverk med fem kjernefunksjoner: identifiser, beskytt, oppdag, responder og gjenopprett. NIST CSF 2.0 inkluderer nå også en styrings-funksjon (Govern) som harmonerer godt med NIS2s ledelsesansvar.
NSMs grunnprinsipper
For norske virksomheter er NSMs grunnprinsipper for IKT-sikkerhet et praktisk utgangspunkt. Grunnprinsippene er tilpasset norske forhold og dekker mange av NIS2-kravene. Kombiner med en mer formell risikovurderingsmetode for å oppfylle NIS2 fullt ut.
Hvordan gjennomfører du risikovurderingen i praksis?
En praktisk risikovurdering følger en trinnvis prosess. Gjennomsnittlig tid for en helhetlig risikovurdering er 4-8 uker for mellomstore virksomheter, ifølge en rapport fra ISACA (ISACA, 2024).
Steg 1: Definer omfang
Bestem hvilke systemer, prosesser og data som inkluderes. Under NIS2 skal alle nettverks- og informasjonssystemer som støtter kritiske tjenester, inkluderes. Definer også hva som er «kritiske tjenester» for virksomheten.
Steg 2: Kartlegg verdier
Identifiser og kategoriser informasjonsverdier: data, systemer, nettverk, applikasjoner og prosesser. Vurder verdien av hver basert på konfidensialitet, integritet og tilgjengelighet.
Steg 3: Identifiser trusler
Kartlegg relevante trusler: ransomware, phishing, statlige aktører, innsidetrusler, naturhendelser og leverandørsvikt. Bruk NSMs trusselvurdering og ENISAs trussellandskap som kilder.
Steg 4: Identifiser sårbarheter
Vurder eksisterende sårbarheter i systemer, prosesser og kompetanse. Teknisk sårbarhetsskanning, konfigurasjonsvurderinger og prosessgjennomganger er aktuelle metoder.
Steg 5: Vurder risiko
Kombiner trussel, sårbarhet og konsekvens til en risikovurdering. Bruk en risikomatrise for å kategorisere risikoer etter sannsynlighet og konsekvens. Prioriter de høyeste risikoene.
Steg 6: Velg behandling
For hver risiko, velg mellom redusering (implementer tiltak), akseptering (godkjent av ledelsen), overføring (forsikring, outsourcing) eller unngåelse (fjern risikoen helt).
Steg 7: Godkjenning og oppfølging
Ledelsen skal formelt godkjenne risikovurderingen og akseptert restrisiko. Etabler prosess for regelmessig oppdatering, minimum årlig eller ved vesentlige endringer.
[UNIQUE INSIGHT] Den vanligste feilen i risikovurderinger er å gjøre dem for detaljerte for tidlig. Start med en overordnet vurdering som dekker hele virksomheten, og gå deretter i dybden for høyrisiko-områdene. En risikovurdering som tar seks måneder å fullføre, er utdatert før den er ferdig.
[PERSONAL EXPERIENCE] Etter å ha fasilitert risikovurderinger for over 50 nordiske virksomheter, er vår erfaring at den største verdien kommer fra prosessen, ikke dokumentet. Når nøkkelpersoner fra IT, drift, ledelse og juss sitter i samme rom og diskuterer risiko, oppstår innsikter som ingen av dem hadde alene.
Ofte stilte spørsmål
Hvor ofte skal risikovurderingen oppdateres?
Minimum årlig, og ved vesentlige endringer i trusselbildet, virksomhetens systemer, organisasjon eller regulatoriske krav. En «vesentlig endring» kan være innføring av nye systemer, fusjoner, eller nye trusler.
Må risikovurderingen dekke fysiske trusler?
Under digitalsikkerhetsloven, som samler NIS2 og CER, ja. Risikovurderingen bør dekke både cybertrusler og fysiske trusler som kan påvirke nettverks- og informasjonssystemer.
Kan vi bruke en eksisterende risikovurdering?
Ja, dersom den dekker NIS2-kravene. En ISO 27001-risikovurdering er et godt utgangspunkt, men sjekk at den inkluderer leverandørkjedeforhold, NIS2-spesifikke kravområder og den norske digitalsikkerhetslovens tilleggskrav.
Hvem bør gjennomføre risikovurderingen?
Ideelt sett et tverrfaglig team med IT/sikkerhet, drift, juss og ledelse. Ekstern bistand kan gi objektivitet og metodisk strenghet. Ansvaret for å godkjenne resultatet ligger hos ledelsen.
Hva er akseptabelt risikonivå under NIS2?
NIS2 definerer ikke et spesifikt akseptabelt risikonivå. Det er opp til virksomheten å fastsette, men ledelsen må formelt godkjenne akseptert restrisiko. Tilsynsmyndigheten kan utfordre vurderingen dersom den anses uforsvarlig.
Viktige punkter om NIS2 risikostyring Krav fremgangsmåte
Risikostyring er fundamentet i NIS2-etterlevelse. Uten en solid risikovurdering kan du ikke implementere forholdsmessige tiltak, og uten forholdsmessige tiltak kan du ikke oppfylle NIS2. Start med å velge en metode, definer omfanget, og gjennomfør en helhetlig vurdering. Perfeksjon er ikke målet, systematikk og kontinuerlig forbedring er det.
Meta description: NIS2 krever risikobaserte tiltak. Bare 38 % gjennomfører helhetlige risikovurderinger. Lær metode og fremgangsmåte for NIS2-risikostyring.
Om forfatteren
Country Manager, Sverige
Johan leder Opsios virksomhet i Sverige og driver AI-innføring, DevOps-transformasjon, sikkerhetsstrategi og skyløsninger for nordiske bedrifter. Med over 12 års erfaring innen skyinfrastruktur har han levert mer enn 200 prosjekter på AWS, Azure og GCP — med spesialisering innen Well-Architected-vurderinger, landingssonedesign og multi-sky-strategi.
Redaksjonelle retningslinjer: Artikkelen er skrevet av en sertifisert fagperson og gjennomgått av vårt ingeniørteam. Vi oppdaterer den når teknologien eller regelverket den omhandler endres; datoene over viser siste oppdatering. Opsio er redaksjonelt uavhengig — vi anbefaler løsninger ut fra tekniske fortrinn, ikke kommersielle relasjoner.