V\u00e4lkommen tillbaka till CSC:s fikasamtal \u2013 en serie intervjuer med CSC:s experter p\u00e5 Digital Brand Services, d\u00e4r vi pratar om branschproblem inom IT-s\u00e4kerhet, dom\u00e4ner, varum\u00e4rkesskydd och bedr\u00e4geriskydd.<\/p>\n\n\n\n
Jag tar en fika med v\u00e5ra \u00e4mnesomr\u00e5desexperter och diskuterar s\u00e5dant som de funderar \u00f6ver. Den h\u00e4r m\u00e5naden har den globala chefen f\u00f6r s\u00e4kerhetstj\u00e4nster, Mark Flegg och jag diskuterat direktivet om n\u00e4tverks- och informationss\u00e4kerhet 2022 (NIS2), som tr\u00e4der i kraft i oktober 2024. Mark tog en kopp koffeinfritt Lavazza-kaffe med mj\u00f6lk (andra kaffem\u00e4rken finns att tillg\u00e5!). Jag valde ett starkt koffeinfritt te med mj\u00f6lk och en sockerbit.<\/p>\n\n\n\n
V\u00e4lj en god dryck och ta fem minuters paus medan du l\u00e4ser v\u00e5r diskussion.<\/p>\n\n\n\n
En solig torsdagsmorgon tar jag en kopp te, s\u00e4tter p\u00e5 mig headsetet och s\u00e4tter mig ned f\u00f6r att prata med Mark Flegg. Efter en kort diskussion om hur Lavazza egentligen ska uttalas (vi kom \u00f6verens om \u201dla-vat-sa\u201d i st\u00e4llet f\u00f6r \u201dla-vassa\u201d) gick vi rakt p\u00e5 sak \u2013 det heta \u00e4mnet NIS2. Jag ber Mark att ge mig en kort genomg\u00e5ng.<\/p>\n\n\n\n
\u201dNIS2 \u00e4r ett direktiv fr\u00e5n Europaparlamentet om att f\u00f6rb\u00e4ttra IT-s\u00e4kerhets\u00e5tg\u00e4rder f\u00f6r medlemsl\u00e4nderna. Det enklaste s\u00e4ttet att f\u00f6rest\u00e4lla sig det \u00e4r att t\u00e4nka att det \u00e4r som GDPR fast f\u00f6r IT\u201d, f\u00f6rklarar han. Jag tog sedan en titt p\u00e5 den officiella sammanfattningen av NIS2 och den kr\u00e4ver en h\u00f6g gemensam niv\u00e5 av IT-s\u00e4kerhet inom hela unionen, vilket omfattar nationella strategier f\u00f6r IT-s\u00e4kerhet, uppr\u00e4ttande av krishanteringsmyndigheter s\u00e4rskilt inriktade p\u00e5 IT-s\u00e4kerhet, \u00e5tg\u00e4rder f\u00f6r riskhantering, tydlig rapportering och genomf\u00f6rande av intr\u00e5ngsbek\u00e4mpning.<\/p>\n\n\n\n
\u201dTidigare har liknande direktiv som p\u00e5pekat vikten av utvecklade IT-s\u00e4kerhets\u00e5tg\u00e4rder inf\u00f6rts, men de fungerade mer som riktlinjer \u00e4n n\u00e5got annat. NIS2 \u00e4r i stort sett en utveckling av dessa och har nu lagf\u00f6rts.\u201d Detta tr\u00e4dde i kraft i december 2022 och EU:s medlemsstater har fram till den 17 oktober i \u00e5r p\u00e5 sig att definiera hur de kommer att integrera det i sina egna lagstiftningar f\u00f6r respektive region.<\/p>\n\n\n\n
NIS2 p\u00e5verkar ett urval av 10 branscher som Europaparlamentet anser vara n\u00f6dv\u00e4ndiga f\u00f6r att samh\u00e4llet ska fungera: ekonomisk s\u00e4kerhet, elektronisk kommunikation (e-post), ekonomi, dataleverant\u00f6rer, sjukv\u00e5rd, mat och vatten, lagar och s\u00e4kerhet, transport, energi, och skyddstj\u00e4nster. \u201d\u00c4ven om det kan verka som en relativt begr\u00e4nsad lista t\u00e4cker det egentligen alla organisationer som kan p\u00e5verka samh\u00e4llet\u201d, till\u00e4gger Mark. Listan \u00e4r utformad f\u00f6r EU:s medlemsl\u00e4nder men t\u00e4cker \u00e4ven alla organisationer som g\u00f6r aff\u00e4rer i EU \u2013 precis som GDPR.<\/p>\n\n\n\n
NIS2-direktivet \u00e4r ett 60-sidigt dokument \u2013 vilket s\u00e4kert \u00e4r som en vanlig kv\u00e4llsl\u00e4sning f\u00f6r Mark, men kanske inte f\u00f6r alla andra \u2013 s\u00e5 jag fr\u00e5gar honom vilka viktiga punkter som organisationer som verkar inom EU eller som g\u00f6r aff\u00e4rer med EU:s medlemsl\u00e4nder beh\u00f6ver t\u00e4nka p\u00e5. Mark lyfter fram tre \u00e5tg\u00e4rdspunkter som han anser \u00e4r centrala.<\/p>\n\n\n\n
Nummer ett. \u201dGranska policyerna f\u00f6r riskhantering! Se till att de inkluderar dom\u00e4nregistrarer och DNS-tj\u00e4nster. Se till att de organisationer du arbetar med \u00e4r NIS2-kompatibla, annars riskerar du att inte f\u00f6lja regelverket\u201d, s\u00e4ger Mark. Precis som med GDPR resulterar bristande efterlevnad av NIS2 i ganska dryga b\u00f6ter: 10 miljoner euro eller 2 % av den \u00e5rliga globala oms\u00e4ttningen, beroende p\u00e5 vilket som \u00e4r h\u00f6gst. Se till att du har DNS i f\u00f6retagsklass och \u00e4ven DNS-redundans\u201d. Han till\u00e4gger sedan: \u201dSkaffa dig en plan B!\u201d.<\/p>\n\n\n\n
Nummer tv\u00e5. \u201dGranska dina leverant\u00f6rer f\u00f6r NIS2 och g\u00f6r det s\u00e5 snart du kan\u201d. N\u00e4r det g\u00e4ller IT-s\u00e4kerhet \u00e4r du bara s\u00e5 stark som din svagaste l\u00e4nk, s\u00e5 det \u00e4r viktigt att bed\u00f6ma tredjepartsleverant\u00f6rer i leveranskedjan. Mark f\u00f6resl\u00e5r att g\u00f6ra en bed\u00f6mning genom att skicka ut ett fr\u00e5geformul\u00e4r om riskbed\u00f6mning till leverant\u00f6rerna, be om en f\u00f6rklaring om NIS2 eller skapa n\u00e5gra till\u00e4mpliga serviceniv\u00e5avtal. <\/p>\n\n\n\n
Och nummer tre? \u201dUtse en CSIRT\u201d, s\u00e4ger Mark. Jag fr\u00e5gar vad det \u00e4r. Det \u00e4r en f\u00f6rkortning av Computer Security Incident Response Team, eller enhet f\u00f6r hantering av IT-s\u00e4kerhetsincidenter, ett team som samarbetar med regeringens egen CSIRT om en incident skulle ske.\u201d Organisationer inom de angivna branscherna har bara 24 timmar p\u00e5 sig att rapportera en incident, s\u00e5 det \u00e4r viktigt att f\u00e5 ihop teamet och att alla agerar tillsammans. Jag undrar vem som ska ing\u00e5 i CSIRT. \u201dDet m\u00e5ste vara ett tv\u00e4rdisciplin\u00e4rt team som t\u00e4cker IT-s\u00e4kerhet, IT, juridik, styrning och efterlevnad. IT-s\u00e4kerhet \u00e4r allas ansvar \u2013 representanter fr\u00e5n vart och ett av dessa omr\u00e5den m\u00e5ste inte bara vara medvetna, utan m\u00e5ste vara beredda att agera\u201d, s\u00e4ger Mark.<\/p>\n\n\n\n
Tiden \u00e4r definitivt avg\u00f6rande n\u00e4r det g\u00e4ller NIS2 \u2013 med mindre \u00e4n fyra m\u00e5nader kvar till oktober \u00e4r det viktigt f\u00f6r alla organisationer som omfattas av direktivet att f\u00e5 sina IT-s\u00e4kerhets\u00e5tg\u00e4rder p\u00e5 plats.<\/p>\n\n\n\n
—<\/p>\n\n\n\n
Tack f\u00f6r att du l\u00e4ser v\u00e5rt fikasamtal om NIS2. H\u00e5ll utkik efter n\u00e4sta inl\u00e4gg i serien, d\u00e4r jag g\u00e5r igenom andra relevanta bransch\u00e4mnen med CSC-experter.<\/p>\n\n\n\n
F\u00f6rresten …<\/strong><\/p>\n\n\n\n Du kan ta reda p\u00e5 mer om CSC:s dom\u00e4nskydd<\/a> och DNS-tj\u00e4nster<\/a> h\u00e4r, eller fylla i det h\u00e4r formul\u00e4ret<\/a> f\u00f6r att chatta med n\u00e5gon av v\u00e5ra experter.<\/p>\n","protected":false},"excerpt":{"rendered":" V\u00e4lkommen tillbaka till CSC:s fikasamtal \u2013 en serie intervjuer med CSC:s experter p\u00e5 Digital Brand Services, d\u00e4r vi pratar om branschproblem inom IT-s\u00e4kerhet, dom\u00e4ner, varum\u00e4rkesskydd och bedr\u00e4geriskydd. Jag tar en fika med v\u00e5ra \u00e4mnesomr\u00e5desexperter och diskuterar s\u00e5dant som de funderar \u00f6ver. Den h\u00e4r m\u00e5naden har den globala chefen f\u00f6r s\u00e4kerhetstj\u00e4nster, Mark Flegg och jag diskuterat […]<\/p>\n","protected":false},"author":13,"featured_media":13358,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[546],"tags":[],"class_list":["post-13433","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-se"],"acf":[],"yoast_head":"\n