Baggrund
Kravene ruller nedad i forsyningskæden
NIS2 stiller krav til, at omfattede virksomheder har styr på sikkerheden i hele deres forsyningskæde – ikke kun i egne systemer. Direktivets artikel 21 nævner forsyningskædesikkerhed direkte som en af de foranstaltninger, ledelsen skal have styr på og kan holdes ansvarlig for.
I praksis betyder det, at mange omfattede virksomheder i disse måneder begynder at stille konkrete sikkerhedskrav til deres leverandører: i nye kontrakter, i due diligence-processer og i tilbagevendende leverandørrevisioner. Er I underleverandør inden for fx produktion, logistik eller it-drift, behøver I altså ikke selv være omfattet af NIS2, før kravene rammer jer – de kommer fra jeres kunder.
Kundens spørgsmål
Det spørger NIS2-kunder typisk om
- Adgangsoverblik: kan I dokumentere, hvem der har adgang til de systemer og data, der vedrører kundens leverance?
- Offboarding: hvor hurtigt lukkes adgange, når en medarbejder fratræder – og kan I bevise, at det sker?
- Privilegerede konti: hvem har administratorrettigheder, og hvordan er de begrænset og overvåget?
- Hændelseshåndtering: hvordan opdager og rapporterer I sikkerhedshændelser, der kan påvirke kunden?
- Dokumentation: kan I fremvise politikker og logs, eller bygger svaret på hukommelse og god vilje?
Hvorfor adgangsstyring er det rigtige sted at starte
Spørgsmålet om, hvem der har adgang til hvad, er enkelt at stille og ofte overraskende svært at svare klart på. I mange mindre og mellemstore virksomheder styres adgange manuelt: i regneark, gennem mundtlige aftaler eller ad hoc, når en medarbejder starter eller stopper. Det er ikke nødvendigvis et tegn på dårlig sikkerhed, men det er svært at dokumentere over for en kunde, der spørger – og det øger risikoen for, at gamle konti bliver stående, længe efter de burde være lukket.
Kan I ikke svare i dag, er der ingen grund til panik. Men der er god grund til at komme i gang, inden svaret bliver et kontraktkrav med en frist. Adgangsstyring er samtidig det leverandørkrav, der er mest konkret og målbart – og derfor det sted, hvor en struktureret indsats hurtigst kan dokumenteres.
Det behøver ikke være et stort projekt
Den gode nyhed er, at man ikke behøver et flerårigt IAM-program for at kunne svare troværdigt. Ved at starte med de systemer, der betyder mest – typisk HR, Active Directory og de vigtigste forretningssystemer – kan et samlet overblik og en dokumenteret proces etableres på få måneder.
I næste artikel gennemgår vi, hvordan I svarer på kundens sikkerhedskrav i praksis, og hvordan en faseopdelt tilgang ser ud.
Læs: Sådan svarer I på kundens sikkerhedskravKort fortalt
- Kravene kommer fra kunden, ikke fra myndigheden – via kontrakter og leverandørrevision.
- Adgangsstyring er det mest konkrete og efterprøvelige af kravene.
- En faseopdelt tilgang giver dokumenterbare resultater på uger, ikke år.
Har I fået sikkerhedskrav fra en kunde?
Vi giver en uforpligtende vurdering af, hvor I står, og hvad der typisk er næste skridt for virksomheder på jeres størrelse.
