Förbered dig för NIS2

Jaha, det hände...

Det visar sig att den 17 oktober var datumet då länderna skulle införliva EU-förordningen i nationell lagstiftning. Jag hittar ingen uppgift om att Finland faktiskt har slutfört det ännu. Enligt den här praktiska källan befinner sig Finland i steg 3. Med andra ord har ett utkast lämnats in, men det har ännu inte godkänts. Det är okej, Finland – jag var också alltid sen med mina läxor!

Det här är långt ifrån ett finskt problem. Endast fyra länder – Belgien, Ungern, Kroatien och Lettland – befinner sig i steg 4 och har infört dessa kontroller i förväg. De länderna får en guldstjärna!

Steg 2 (inledande utveckling) omfattar Danmark, Frankrike, Irland och Rumänien, medan Bulgarien, Estland, Malta, Portugal och Spanien befinner sig i steg 1 (minimala framsteg eller information).

Som man kan förvänta sig av EU-lagstiftning rullar stenen långsamt nedför backen. Om detta innebär att de som ännu inte följer NIS2 har fått någon form av amnesti kan diskuteras. Utan någon tydlig tidsfrist kan NIS2 införlivas i finsk lag när som helst.

NIS2:s historia

Direktivet om nätverks- och informationssäkerhet (NIS), som ursprungligen antogs av Europeiska unionen 2016, syftade till att stärka cybersäkerheten i medlemsstaterna. I takt med att det digitala landskapet utvecklades blev det tydligt att det ursprungliga NIS-direktivet var i stort behov av en uppdatering, vilket ledde till NIS2-direktivet.

• 2016 – Det ursprungliga NIS-direktivet antas för att förbättra cybersäkerheten i EU.

• December 2020 – NIS2-direktivet föreslås av Europeiska kommissionen.

• Maj 2022 – EU:s institutioner når en politisk överenskommelse om NIS2.

• November 2022 – NIS2-direktivet antas formellt av Europaparlamentet.

• Januari 2023 – NIS2 träder i kraft.

• Oktober 2024 – EU:s medlemsstater måste införliva NIS2 i nationell lagstiftning.

• Oktober 2024 – Ett märkligt mellanläge där det är oklart om lagen gäller eller inte (du är här).

• April 2025 – EU:s medlemsstater måste, sex månader efter att ha införlivat NIS2 i nationell lagstiftning, lämna in en förteckning över identifierade väsentliga och viktiga verksamheter till Europeiska kommissionen.

NIS2 inför bredare krav, ett utökat tillämpningsområde och, kanske viktigast av allt, strängare sanktioner.

Direktivets nya omfattning

NIS2-direktivet utökar NIS tillämpningsområde avsevärt. Enligt NIS omfattades endast leverantörer av samhällsviktiga tjänster och leverantörer av digitala tjänster av kraven. NIS2 utvidgar detta till att omfatta fler kritiska sektorer, såsom:

• Energi (inklusive sektorerna för el, gas och olja).

• Transport (luftfart, järnväg, sjöfart och vägtransport).

• Bank- och finansiella tjänster.

• Hälso- och sjukvårdssektorn (sjukhus, laboratorier och läkemedelsproduktion).

• Offentlig förvaltning (nationella och regionala organ).

• Rymdsektorn (satellittjänster och markstationer).

Medelstora och stora företag inom dessa sektorer måste nu följa kraven. Det innebär att även företag som tidigare kanske inte har betraktats som kritiska, men som spelar en roll i viktiga leveranskedjor, nu omfattas av direktivet.

Grundläggande kontroller

Strängare krav på incidentrapportering

Organisationer måste införa ”lämpliga och proportionerliga” säkerhetsåtgärder för att hantera de risker som deras system medför.

Detta omfattar:

• Incidentförebyggande arbete: Skydda system och data från potentiella säkerhetsintrång.

• Kontinuitetsplanering: Säkerställa motståndskraft under och efter cyberincidenter.

• Incidentdetektering: Införa övervakning för att tidigt identifiera intrång.

• Respons och återställning: Ta fram rutiner för att hantera incidenter effektivt och snabbt återställa verksamheten.

Tidsramen för rapportering har också skärpts. Företag måste rapportera betydande cybersäkerhetsincidenter till relevanta myndigheter inom 24 timmar efter upptäckt, och lämna en slutrapport inom en månad. Att inte rapportera en incident inom denna tidsram kan leda till sanktioner.

Vad detta innebär för DevOps och Platform Engineering

Observability är avgörande. Det är ytterst viktigt att förstå och kunna rapportera vad som händer i dina system. 24 timmar är mycket kort tid från upptäckt till rapport, och att behöva kämpa med loggsystem för att förstå en incidents påverkan kan bli tidskrävande.

För mer om observability rekommenderar jag vårt avsnitt av DevOps Sauna-podden med Charity Majors.

Hantering av risker i leveranskedjan och hos tredje part

Ett välkommet tillägg i NIS2 är fokuset på säkerheten i leveranskedjor och hos tredjepartsleverantörer. Direktivet kräver att företag säkerställer att tredjepartsleverantörer, underleverantörer och tjänsteleverantörer följer NIS2-standarderna. Detta gäller särskilt företag som är starkt beroende av externa IT-tjänster, molnleverantörer eller andra infrastrukturpartner.

Effektiv hantering av säkerheten i leveranskedjan omfattar:

• Genomföra grundliga riskbedömningar av tredjepartsleverantörer.

• Fastställa avtalskrav som säkerställer beprövade metoder för cybersäkerhet.

• Kontinuerligt övervaka tredje parters regelefterlevnad.

Vad detta innebär för DevOps och Platform Engineering

Tre ord: mjukvaruleveranskedjan. Dina byggen hämtar sannolikt in beroenden från tredje part. Just nu är det inte helt klart var ansvaret för att hantera säkerheten i sådana beroenden kommer att hamna. Free Software Foundation Europe har lämnat viss återkoppling om NIS2:s fokus på affärsrelationer och hur det kan påverka leverantörer av FOSS.

Det klokaste du kan göra nu är att verifiera varje byggsten i din leveranskedja genom att redan nu införa SBOM och granskningsgrupper för open source.

Riskbaserade metoder

Till skillnad från regelstyrda standarder kräver NIS2 en riskbaserad metod för cybersäkerhet. Det innebär att organisationer måste bedöma de specifika risker de står inför, inklusive potentiella hot mot verksamheten, leverantörer och kunder, och anpassa sina säkerhetsåtgärder därefter.

Vad detta innebär för DevOps och Platform Engineering

Om du aldrig tidigare har deltagit i en hotmodelleringsövning bör du förbereda dig på det. Börja med att kartlägga hela ditt dataflöde och fundera över hur tillit fungerar från utveckling till driftsättning. En bra utgångspunkt är att förstå vilka risker företaget står inför, kartlägga dem och ha en åtgärdsstrategi för var och en. Därefter handlar det om utveckling och iteration.

Ansvar, samarbete och sanktioner

Tre delar av NIS2 är mindre direkt relevanta för DevOps och Platform Engineering, men bör diskuteras. Kunskap om dem hjälper dig att förstå exakt vad vi kommer att arbeta med.

När det gäller ansvar betonar NIS2 ledningens och styrningens roll inom cybersäkerhet. Direktivet kräver att högsta ledningen tar ansvar för cybersäkerhetsåtgärder. Organisationer måste utse en CISO (Chief Information Security Officer) eller en motsvarande person med ansvar för cybersäkerhet, och styrelsen måste informeras om cybersäkerhetsrisker och strategier.

När det gäller samarbete främjar NIS2 ett närmare samarbete mellan EU:s medlemsstater genom ett strukturerat nätverk för informationsdelning och gemensamma insatser för cyberresiliens. Medlemsstaterna uppmuntras att inrätta Computer Security Incident Response Teams (CSIRT:er) för att hantera cybersäkerhetshot och samarbeta vid incidenter i stor skala.

Det gränsöverskridande samarbetet omfattar också inrättandet av European Cyber Crises Liaison Organisation Network (ECLON), en struktur för att hantera cybersäkerhetskriser i stor skala på EU-nivå.

Och slutligen hårdare sanktioner: NIS2 inför strängare sanktioner för organisationer som inte uppfyller de angivna kraven. Vid allvarliga överträdelser av direktivet kan organisationer få böter på upp till 10 miljoner euro eller 2 % av den globala årsomsättningen, beroende på vilket belopp som är högst. Det gör sanktionerna inom NIS2 jämförbara med dem i GDPR.

Förbered dig för att uppfylla kraven i NIS2

På Eficode har vi aktivt stöttat kunder i att förbereda sina DevOps- och Platform Engineering-system för att uppfylla de strikta kraven i NIS2.

Vi har utforskat hotmodeller för CI/CD-system, byggt verktygskedjor kring Software BOMs och pipelinesäkerhet samt utökat rapporteringsmöjligheterna med avancerad observability. Genom att samarbeta med oss kan organisationer säkerställa att deras infrastrukturer är säkra, följer regelverket och är redo för de kommande regeländringarna.