Baggrund
Fra anbefaling til lovkrav
NIS2 er EUs direktiv om cybersikkerhed, og det udvider kredsen af omfattede virksomheder markant i forhold til det oprindelige NIS-direktiv – fra energi, transport og finans til blandt andet fødevarer, affaldshåndtering, produktion og digitale tjenester. Efter flere udsættelser trådte den danske implementering i kraft i 2025, og tilsynet med de omfattede sektorer er i gang.
To ting adskiller NIS2 fra tidligere regulering: ledelsesansvaret – ledelsen skal selv godkende risikostyringen og kan ikke delegere ansvaret væk – og sanktioner, der kan mærkes. Cybersikkerhed er dermed rykket fra it-afdelingen til direktionslokalet.
Hvad kræver NIS2 af adgangsstyringen?
Direktivets artikel 21 lister de minimumsforanstaltninger, alle omfattede virksomheder skal have på plads. Flere af dem handler direkte om identiteter og adgange: politikker for adgangskontrol, styring af aktiver, brug af multifaktorautentifikation og sikkerhed i forbindelse med personale, altså processerne omkring ansættelse, rolleskift og fratrædelse.
Fælles for kravene er, at det ikke er nok at have en politik liggende i en mappe. I skal kunne dokumentere, at kontrollerne virker i praksis: Hvem har adgang til hvad? Hvorfor har de den? Og hvornår er den sidst blevet efterprøvet?
Tjekliste
Fem spørgsmål I skal kunne svare på
- Overblik: kan I trække en aktuel liste over, hvem der har adgang til jeres kritiske systemer?
- Livscyklus: lukkes adgange automatisk, når en medarbejder fratræder eller skifter rolle?
- Godkendelse: er der en dokumenteret ejer og godkender bag enhver adgangstildeling?
- Efterprøvning: gennemgår og recertificerer I adgange med faste intervaller?
- Privilegerede konti: er administratoradgange kortlagt, begrænset og overvåget?
Her kommer IGA ind i billedet
I en lille organisation kan man måske svare ja til spørgsmålene med manuelle processer og disciplin. Men manuelle processer er svære at dokumentere over tid, og det er netop dokumentationen, tilsyn og revisorer efterspørger.
Det er her, Identity Governance & Administration (IGA) kommer ind. En IGA-løsning automatiserer on-, om- og offboarding ud fra HR-data, håndhæver godkendelsesflows og producerer dokumentationen som et biprodukt af den daglige drift – i stedet for som brandslukning op til en audit.
Hvor står I i forhold til NIS2?
Vores IAM Maturity Assessment giver et dokumenteret billede af jeres adgangsstyring – og et roadmap for, hvad der bør løftes først.
