NIS-direktivet i praktiken
Direktivet innebär att de generella kraven på informationssäkerhet höjs. Det betyder att berörda verksamheter måste beakta person, process och teknologi i sitt arbete för höjd informationssäkerhet. Verksamheterna behöver riskklassificera sin information och sina system. De behöver förbereda sig på eventualiteter som konsekvenserna av en attack kan leda till och förbereda åtgärdsplaner för att höja sin motståndskraft. Kontinuerlig kunskapsinsamling genom incidentrapportering skall genomföras för ständigt ökad beredskap. Huvudsakligen förväntas man fokusera på verksamhetens nätverks- och informationssystem.
Att följa och ta hjälp av NIS-direktivet
NIS-direktivet är en god utgångspunkt för att genomföra värdefullt cybersäkerhetarbete. För att avgöra vilka åtgärder som är lämpliga behöver organisationen i fråga först kartläggas på en övergripande nivå. Vissa processer är särskilt viktiga för kärnfunktioner, några personer har arbetsuppgifter som gör dem sårbara för utpressning och delar av den tekniska infrastrukturen är mer sårbar än annan. Till detta bör en extern kartläggning göras för att specificera vilka cyberattacker som förekommer idag och vilka som förväntas komma i framtiden. Normalt är information som mest utsatt när den skickas mellan säkerhetsdomäner eller via nätverk. Att förstärka skyddet vid dataöverföring med datadioder, kontrasignering och kryptering är viktiga för robust informationssäkerhet. Att separera information för att höja säkerheten är en god ide, för att kunna göra det måste organisationen avgöra vilken information som är viktigare än annan. För att bibehålla effektivitet är det viktigt att avgöra vilken information som har vilken risknivå.
NIS-direktivet och Sverige
I Sverige anammas NIS-direktivet genom lagen om informationssäkerhet. I den finns föreskrifter som tydliggör hur en verksamhet kan anpassas för att möta NIS-direktivet:
Systematiskt och riskbaserat informationssäkerhetsarbete
Det informationssäkerhetsarbete som bedrivs gällande informationshantering i nätverk och informationssystem som används för samhällsviktiga tjänster ska ske med stöd av standarderna SS-EN ISO/IEC 27001:2017 och SS-EN ISO/IEC 27002:2017, men ska även anpassas efter organisationen. När man identifierat de risker som finns ska man tydliggöra organisationens ansvar för arbetet med informationssäkerhet, se till att alla resurser finns för att kunna utföra arbetet, samt se till att arbetet anpassas och utvärderas.
Närmare krav på informationssäkerhetsarbetet
Målet med organisationens arbete med informationssäkerhet ska framgå i en policy. Man måste även ha ett dokumenterat arbetssätt för att exempelvis klassificera information, analysera risker och ta rimliga säkerhetsåtgärder. Det är även viktigt att utbilda medarbetarna och se till att de förstår hur arbetet ska skötas och vad deras roll är.
Särskilt om nätverk och informationssystem
Självklart är det av stor vikt att de nätverk och informationssystem som används för samhällsviktiga tjänster uppfyller kraven för informationssäkerhet. Man ska även ha en gedigen incidenthantering för informationen i dessa system och en plan för hur incidenterna ska hanteras och hur verksamheten ska gå vidare efter en incident.
NIS-2 för att stärka NIS-direktivet
NIS-direktivet innefattar löpande granskning av direktivet i syfte att förstärka och anpassa i takt med omvärldsförändringar. Detta har lett till iteration två av direktivet som kallas NIS 2.
