I EU er NIS1-direktivet allerede erstattet av NIS2, som er en videreutvikling og utvidelse av det første NIS-direktivet. Hva betyr det når NIS2 etter hvert innføres i norsk rett? Og hvorfor er Datelco, sammen med Panduit, en compliance-enabler i dette landskapet.
Ingen virksomhet ønsker å oppdage svakhetene sine i det øyeblikket noe går galt. Ingen ønsker nedetid fordi infrastrukturen var dårligere dokumentert enn man trodde. Ingen ønsker å finne ut for sent at det som så billigst ut på innkjøp, ble dyrest når feil, avbrudd og usikkerhet begynte å koste.
Cybersikkerhet - flere lag
Når cybersikkerhet diskuteres, går tankene ofte til brannmurer, overvåkning av enheter (EDR) og skyløsninger. Men digitale tjenester hviler alltid på et fysisk fundament, og både dagens norske krav (NIS1 gjennom digitalsikkerhetsloven) og NIS2 peker i retning av mer helhetlig risikostyring. Da må også den fysiske nettverksinfrastrukturen inn i sikkerhetsregnskapet.
Her kommer Datelco inn. Som elektro- og EKOM-installatør leverer vi løsninger basert på Panduit-produkter som er utviklet for fysisk datasikkerhet, struktur og sporbar dokumentasjon. Dette er egenskaper som blir stadig viktigere i møte med nytt regelverk. Se video på YopuTube: Panduit Physical Security Solutions
I EU ble NIS1 erstattet med NIS2 fordi:
- Trusselbildet har blitt større og mer komplekst
- Flere sektorer er i dag avhengige av digitale systemer
- Ulik nasjonal praksis har skapt hull i sikkerheten
Du kan lese om NIS1 og digitalsikkerhetsloven her: Ny digitalsikkerhetslov i Norge – hvem gjelder den for, og hva må du gjøre?
NIS2 – hva betyr det for norske virksomheter?
NIS2 (Direktiv (EU) 2022/2555) gjelder flere sektorer og flere virksomheter enn tidligere.
Direktivet definerer hvem som omfattes. Det deler virksomheter i to grupper: essensielle virksomheter og viktige virksomheter. Samtidig stiller det krav til risikostyring, fysisk og digital sikkerhet, kontroll av leverandører og rapportering av hendelser. Myndighetene får også tydeligere ansvar for tilsyn og mulighet til å gi sanksjoner.
For leverandører av bl.a. datasentre og skytjenester blir kravene enda tydeligere. Dette er beskrevet i gjennomføringsforordning (EU) 2024/2690 (ekstern lenke). Forordningen gir en mer konkret veiledning om hva som kreves av cybersikkerhet som følge av NIS2, særlig artikkel 21.
Norge er en del av EØS. Derfor blir NIS2 relevant når direktivet tas inn i EØS-avtalen og senere innføres i norsk lov. Virksomheter bør forberede seg allerede nå. Kravene er unektelig på vei. Mange møter allerede NIS2-krav indirekte gjennom kunder og samarbeidspartnere i EU.
Fysisk infrastruktur
NIS2 er tydelig på at sikkerhet ikke bare handler om programvare. Også den fysiske infrastrukturen er en del av nettverk og informasjonssystemer. Dette inkluderer blant annet nettverksutstyr, datasentre, kabling og rack. Tiltak som styrer fysisk tilgang og hindrer manipulering, er også en del av dette.
Direktivet sier klart at systemer skal beskyttes mot uautorisert fysisk tilgang, skade, feil og miljøhendelser. I praksis betyr dette at virksomheten må ha kontroll på de fysiske komponentene som påvirker drift og sikkerhet. Det gjelder for eksempel rack, patching, uttak, merking, endringskontroll og tilgang.
Man må kunne vise:
- hva som er installert
- hvordan det er bygget opp
- hvilke komponenter som inngår
- hvordan endringer håndteres
- hvordan dokumentasjon holdes oppdatert
- og hvordan kvalitet og ytelse kan verifiseres over tid
Det er her forskjellen mellom en tilfeldig installasjon og en gjennomtenkt løsning blir tydelig.
Les også: Sikre nettverket ditt med Panduit
EKOM og fysisk nettverk er dermed en viktig del av compliance-bildet, ikke bare “understøttende”. Datelco er Panduit One partner og leverer nettopp de byggesteinene du trenger for å kunne vise kontroll.
100% sporbarhet: fra patchkabel til dokumentasjon
Et vanlig funn i revisjoner er usikkerhet rundt dokumentasjonen. Ofte hører man: «Vi tror det er slik», eller at dokumentasjonen av patchingen er utdatert. Dokumentasjonen er rett og slett ikke god nok til å brukes når det virkelig gjelder. 😱
Panduit RapidID er laget for å automatisere dokumentasjon og kartlegging. Løsningen bruker forhåndsmerkede patchkabler og skanning. Informasjon om kablene registreres fortløpende. Det reduserer manuelle feil og gir bedre oversikt.
For etterlevelse av krav betyr dette blant annet:
- bedre oversikt over utstyr og konfigurasjon
- enklere endringslogg og bedre sporbarhet
- raskere feilsøking og lavere risiko for uplanlagt nedetid
Vi anbefaler at du leser denne artikkelen for å få flere detaljer om dette: Kan Rapid ID bidra til digital sikkerhet?
Hvorfor Datelco er en “compliance enabler”
Datelco kan være bindeleddet mellom regelverk og praktisk gjennomføring. Vi kan blant annet bidra med:
-
- prosjektering og installasjon som tar høyde for adgangskontroll, soneinndeling og fysisk sikring
- standardisering av rack, patching og merking, slik at nettverksmiljøet blir oversiktlig og enklere å revidere
- god dokumentasjon og sporbarhet, slik at virksomheten kan vise at sikkerhet er bygget inn i løsningene – ikke bare beskrevet på papiret
Les også: Sikkerhet i datarom – tiltak som fungerer i praksis
Hvem gjelder NIS2 for?
NIS2 gjelder først og fremst mellomstore og store virksomheter i bestemte sektorer. Samtidig kan også mindre virksomheter bli omfattet. Dette gjelder særlig leverandører og underleverandører som er viktige for samfunnskritiske tjenester eller inngår i en viktig verdikjede.
Sanksjonsmuligheter
NIS2 gir myndighetene tydeligere mulighet til å reagere ved brudd på regelverket. I EU kan virksomheter få administrative bøter dersom kravene ikke følges. Bøtenivået avhenger av om virksomheten regnes som essensiell eller viktig. De øvre rammene som ofte nevnes er opptil 10 millioner euro eller 2 % av global omsetning for essensielle virksomheter, og 7 millioner euro eller 1,4 % av global omsetning for viktige virksomheter.
Vårt råd er å gjøre en GAP-analyse nå!
Selv om NIS2 ennå ikke er innført i Norge, kan norske virksomheter allerede møte krav gjennom kunder og samarbeidspartnere i EU. Norske myndigheter og fagmiljøer anbefaler derfor at virksomheter starter forberedelsene tidlig.
Begynn med å få kontroll på infrastrukturen nå ved å stille de enkle, men viktige spørsmålene:
-
Har vi faktisk oversikt?
-
Har vi sporbarhet?
-
Er dokumentasjonen oppdatert?
-
Er kvaliteten verifiserbar?
-
Kan vi bevise kontroll hvis vi blir spurt?
Datelco kan hjelpe deg med å kartlegge den fysiske infrastrukturen og gi konkrete råd om tiltak. Målet er å sikre at virksomheten oppfyller kravene – og fortsetter å gjøre det over tid.
For virksomheter som allerede omfattes av digitalsikkerhetsloven, og for dem som vil bli berørt av NIS2 direkte eller indirekte, er budskapet enkelt: Sikkerhet starter i infrastrukturen. Når infrastrukturen er sporbar, sikret og godt dokumentert, blir resten av sikkerhetsarbeidet både enklere og mer robust.
Kontakt oss i Datelco dag for en uforpliktende samtale:
Kilde: NASJONAL SIKKERHETSMYNDIGHET
