Alle seriøse cybersikkerhedsrammer starter med det samme dokument: en skriftlig, ledelsesgodkendt informationssikkerhedspolitik (ISSP). NIS2 nævner den først blandt risikostyringsforanstaltningerne i artikel 21, og ISO/IEC 27001 gør den til et krav i punkt 5.2. Security Policy Express fører en europæisk SMV gennem en vejledt online workshop og genererer en struktureret første version i virksomhedens eget navn: et arbejdsudkast, som jeres rådgivere kan gennemgå, ikke juridisk rådgivning.
Svaret på et minut, til en administrerende direktør, der ikke er IT-specialist.
En informationssikkerhedspolitik (ofte forkortet ISSP, eller PSSI på fransk) er det dokument, hvor ledelsen skriftligt angiver, hvordan virksomheden beskytter sine oplysninger og IT-systemer, hvem der har ansvar for hvad, og hvilke regler alle skal følge. Den er kort i toppen (en politikerklæring underskrevet af ledelsen) og mere detaljeret nedenunder (emnespecifikke regler og operationelle procedurer). Den er ikke en teknisk manual: den er en ledelsesbeslutning, nedfældet på papir, som resten af jeres sikkerhedsarbejde kan henvise til.
ISO/IEC 27001 placerer politikken hos "den øverste ledelse", og NIS2 artikel 20 beder ledelsesorganerne i omfattede enheder om at godkende foranstaltningerne til styring af cybersikkerhedsrisici og føre tilsyn med gennemførelsen. Jeres IT-leverandør kan hjælpe med at skrive den; kun ledelsen kan stå inde for den.
Kilder: Direktiv (EU) 2022/2555, art. 20 · ISO/IEC 27001:2022, punkt 5God praksis skelner mellem tre niveauer. Politikken fastlægger principper og ansvar. Emnespecifikke politikker (adgangskontrol, backup, kryptografi, leverandører ...) omsætter dem for hvert område. Procedurer beskriver, hvem der gør hvad, trin for trin, når noget sker. ISO/IEC 27001 kontrol 5.1 nævner udtrykkeligt både politikken og de emnespecifikke politikker.
Kilde: ISO/IEC 27001:2022, bilag A, kontrol 5.1Ingen europæisk tekst pålægger én enkelt skabelon. NIS2 artikel 21, stk. 1, kræver foranstaltninger, der er "passende og forholdsmæssige", under hensyntagen til enhedens eksponering for risici, dens størrelse samt sandsynligheden for og alvorligheden af hændelser. En producent med 40 ansatte og et hospital skriver ikke samme politik, og det bør de heller ikke.
Kilde: Direktiv (EU) 2022/2555, art. 21, stk. 1En politik, der skrives én gang og lægges i en skuffe, beskytter ikke noget. Rammerne forventer, at den kommunikeres til medarbejderne, bekræftes og gennemgås med planlagte mellemrum og efter væsentlige ændringer. Derfor bør jeres politik fra dag ét indeholde sin egen revisionscyklus, ejer og versionshistorik.
Kilde: ISO/IEC 27001:2022, punkt 5.2 og kontrol 5.1De fleste små og mellemstore virksomheder anvender allerede nogle sikkerhedsregler. Det, der typisk mangler, er den skriftlige, godkendte og sammenhængende version, som en tilsynsmyndighed, en revisor, et forsikringsselskab eller en stor kunde faktisk kan læse.
NIS2 udvider EU's cybersikkerhedsregler til mange mellemstore virksomheder i sektorer som fremstilling, fødevarer, affaldshåndtering, transport eller digitale tjenester. For omfattede enheder er "politikker for risikoanalyse og sikkerhed i informationssystemer" den første foranstaltning, der nævnes i artikel 21, stk. 2.
NIS2 artikel 21, stk. 2, litra d, kræver, at omfattede enheder håndterer forsyningskædesikkerhed, herunder sikkerhedsrelaterede aspekter i forholdet til direkte leverandører. Selv hvis I ligger uden for anvendelsesområdet, kan jeres større kunder bede jer om at fremvise en skriftlig sikkerhedspolitik i deres leverandørspørgeskemaer.
At skrive en politik betyder at besvare mange spørgsmål på én gang: hvad er vores kritiske aktiver, hvem træffer beslutningerne, hvad gør vi ved et ransomware-angreb, hvor længe beholder vi backups? Uden struktur har man en tendens til at udskyde øvelsen, kvartal efter kvartal.
Skabeloner fra nettet beskriver ofte en organisation med en sikkerhedschef, et security operations center og et dedikeret budget. Et dokument, der ikke svarer til virkeligheden, er værre end intet: det bliver ikke anvendt, og en revisor vil bemærke kløften mellem papir og praksis.
Det samme dokument besvarer flere tekster på én gang. Her er, hvad hver af dem faktisk siger, med et link til den officielle kilde. Hver reference linker til den officielle kilde; nationale implementeringer kan tilføje detaljer.
Væsentlige og vigtige enheder skal træffe "passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger" til at håndtere cybersikkerhedsrisici, baseret på en all-hazards-tilgang. Listen i artikel 21, stk. 2, åbner med "a) politikker for risikoanalyse og sikkerhed i informationssystemer". Artikel 20 tilføjer, at ledelsesorganerne godkender disse foranstaltninger, fører tilsyn med gennemførelsen og følger op på uddannelse.
Punkt 5.2 kræver, at den øverste ledelse fastlægger en informationssikkerhedspolitik, der passer til organisationens formål, danner ramme for sikkerhedsmål og omfatter forpligtelser til at opfylde gældende krav og til løbende forbedring. Den skal dokumenteres, kommunikeres internt og gøres tilgængelig for interesserede parter, hvor det er relevant. Bilag A, kontrol 5.1, udvider dette til emnespecifikke politikker, der godkendes, offentliggøres, bekræftes og gennemgås.
Artikel 24, stk. 2, fastslår, at de dataansvarliges foranstaltninger, for så vidt det står i forhold til behandlingsaktiviteterne, omfatter "implementering af passende databeskyttelsespolitikker". Artikel 32 kræver passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der står i rimeligt forhold til risikoen. En sikkerhedspolitik er det naturlige sted at dokumentere disse foranstaltninger.
For visse digitale enheder (for eksempel leverandører af cloud computing, datacentre og managed services) har Kommissionen vedtaget detaljerede tekniske og metodiske krav. Dens bilag åbner med en "politik for sikkerhed i net- og informationssystemer" og beskriver, hvordan den godkendes, dokumenteres og gennemgås. Selv hvis jeres virksomhed ikke er en af disse enhedstyper, er bilaget en nyttig, offentlig reference til at strukturere en politik.
For finansielle enheder kræver DORA, at de udvikler og dokumenterer en informationssikkerhedspolitik, der fastlægger regler for at beskytte tilgængelighed, autenticitet, integritet og fortrolighed af data, informationsaktiver og IKT-aktiver. Hvis I er IKT-leverandør til en bank eller et forsikringsselskab, må I forvente, at kunden spørger, hvordan jeres egen politik står i forhold hertil.
Nationale cybersikkerhedsmyndigheder udgiver gratis vejledning, som en politik kan bygge på. I Frankrig opstiller ANSSI's guide til IT-hygiejne 42 væsentlige foranstaltninger for dem, der har ansvar for en organisations informationssystemsikkerhed. ENISA, EU's agentur for cybersikkerhed, udgiver vejledning til støtte for implementeringen af NIS2 i hele Unionen.
NIS2-direktivets artikel 21, stk. 2, opregner ti minimumsforanstaltninger. Litra a er selve politikken, men en velbygget politik er også det sted, hvor de øvrige ni får deres ejer, deres regel og deres procedure. Sådan er det genererede dokument struktureret.
Politikerklæringen, anvendelsesområdet, rollerne og metoden til at identificere og vurdere risici. Det er dokumentets rygrad.
En procedure for hændelseshåndtering: opdagelse, kvalificering, eskalering, indeslutning, anmeldelse og erfaringsopsamling.
Backupstyring, katastrofeberedskab og krisestyring, som direktivet formulerer det: hvem der beslutter, hvad der genstartes først, og hvor ofte backups testes.
Regler for valg, kontraktindgåelse og overvågning af IT-leverandører og serviceudbydere, herunder de sikkerhedsklausuler, I forventer af dem.
Hvordan nye systemer vælges og konfigureres, hvordan opdateringer anvendes, og hvordan sårbarheder håndteres og offentliggøres.
Politikker og procedurer til at kontrollere, at foranstaltningerne virker: indikatorer, interne gennemgange, øvelser og ledelsesgennemgang.
De daglige regler (adgangskoder, opdateringer, phishing-bevidsthed) og en uddannelsesplan, herunder for ledelsen, som artikel 20, stk. 2, kræver for ledelsesorganerne.
Hvornår data skal krypteres (bærbare computere, backups, overførsler), hvilke protokoller der er acceptable, og hvem der administrerer nøglerne.
Ansættelse, skift af stilling og fratræden; hvem der får hvilken adgang, og hvem der godkender den; en fortegnelse over aktiver med deres ejere.
Hvor multifaktor- eller løbende godkendelse kræves, og hvordan tale, video, tekst og nødkommunikation sikres.
Henvisningerne til ISO/IEC 27001 er vejledende sammenhænge, som vi har udarbejdet for at hjælpe jer med at navigere, og ikke en officiel tabel offentliggjort af ISO eller Europa-Kommissionen. Kilde for de ti foranstaltninger: Direktiv (EU) 2022/2555, art. 21, stk. 2.
Det genererede dokument følger en struktur, som en revisor, et forsikringsselskab eller en kunde vil kende igen. Hvert kapitel udfyldes ud fra de svar, I giver i workshoppen, så det beskriver jeres virksomhed og ikke en fiktiv virksomhed.
Ledelsens forpligtelse i få afsnit, underskrevet og dateret.
Hvem der beslutter, hvem der implementerer, og hvem der kontrollerer, også når IT er outsourcet.
En enkel, gentagelig måde at identificere, vurdere og håndtere risici på.
At vide, hvad man beskytter, før man beslutter, hvordan.
Hvem der kan få adgang til hvad, og hvordan det dokumenteres.
Det tekniske grundlag, skrevet i et klart sprog.
Hvor kryptering er påkrævet, og hvordan den administreres.
Sikkerhed i forholdet til IT-leverandører og cloudtjenester.
Den menneskelige side, fra ansættelse til fratræden.
Lokaler, serverrum og udstyr uden for kontoret.
Principperne, uddybet i procedurerne nedenfor.
Hvordan politikken forbliver levende og korrekt.
En politik siger, hvad der skal ske; en procedure siger, hvem der gør det, i hvilken rækkefølge og med hvilken dokumentation. Disse fire er dem, kunder og revisorer oftest beder om at se, og dem, der betyder mest den dag, noget går galt.
Fra det første varsel til den afsluttende rapport: hvordan medarbejdere indberetter en mistænkelig hændelse, hvem der kvalificerer den, hvem der isolerer de berørte systemer, hvem der kontakter jeres IT-leverandør, jeres forsikringsselskab og myndighederne, og hvordan beviser bevares.
Hvordan en konto anmodes om, godkendes, oprettes, ændres og fjernes. Proceduren dækker nyansættelse, rolleskift og fratrædelse, administratorkonti, delte konti og servicekonti samt den periodiske gennemgang, hvor en leder bekræfter, at hver person stadig har brug for den adgang, de har.
Hvordan en ændring af et produktionssystem (en ny applikation, en firewallregel, en større opdatering) beskrives, vurderes for risiko, godkendes, testes, gennemføres og om nødvendigt rulles tilbage. I en lille virksomhed kan det være let: en kort formular og en log er nok, forudsat at de findes og bruges.
Hvad der tages backup af, hvor ofte, hvor, i hvor lang tid, og frem for alt hvordan genetablering testes. Proceduren kobler backups til genetableringsmål for hver kritisk aktivitet og beskriver krisens organisering: hvem der beslutter, hvem der kommunikerer, og hvilke systemer der genstartes først.
Politikken er skrevet til ledelse og IT. Politikken for acceptabel brug (AUP) er skrevet til alle andre: det korte, letlæselige sæt regler, som hver medarbejder, midlertidig ansat eller konsulent accepterer, før de bruger virksomhedens IT.
Brug af konti og adgangskoder, e-mail og beskeder, internetadgang, privat brug (tolereret eller ej), mobile enheder og fjernarbejde, flytbare medier, cloudtjenester og generative AI-værktøjer, fortrolighed, indberetning af hændelser, samt hvad virksomheden må overvåge, og hvorfor.
ISO/IEC 27001 kontrol 5.10 kræver, at regler for acceptabel brug af oplysninger og andre tilknyttede aktiver identificeres, dokumenteres og implementeres. Ved at holde reglerne i et særskilt bilag bliver de lettere at læse, underskrive, opdatere og vedlægge ansættelsesdokumenter.
Når AUP nævner logning eller overvågning af medarbejderaktivitet, gælder databeskyttelsesretten: medarbejderne skal informeres (GDPR art. 13), og medlemsstaterne kan vedtage mere specifikke regler for ansættelsesforhold (GDPR art. 88). Databeskyttelsesmyndigheder som den franske CNIL udgiver vejledning om, hvad der er acceptabelt.
At gøre AUP bindende for medarbejdere kan kræve nationale formaliteter. I Frankrig gælder det for eksempel (det skal bekræftes med jeres rådgiver i forhold til Code du travail), at regler af denne type typisk vedlægges virksomhedens interne regler (règlement intérieur), som følger en procedure fastsat i Code du travail, herunder høring af medarbejderrepræsentanterne. Tjek reglerne i jeres land med jeres rådgiver.
Kilder: ISO/IEC 27001:2022, A.5.10 · Forordning (EU) 2016/679, art. 13, 88 · CNIL · Légifrance, Code du travail (fransk arbejdslov), art. L1321-4 og L1321-5.
En politik beskriver en virksomhed, der forandrer sig: nye medarbejdere, ny software, nye leverandører, nye trusler. De rammer, vi henviser til, forventer generelt, at den holdes opdateret. Det genererede dokument har sin egen revisionskalender, ejer og versionstabel.
Den første version godkendes af ledelsen, dateres og versionsnummereres. Efter NIS2 art. 20, stk. 1, godkender ledelsesorganerne i omfattede enheder foranstaltningerne til styring af cybersikkerhedsrisici; efter ISO/IEC 27001 punkt 5.2 fastlægger den øverste ledelse politikken.
Politikken offentliggøres internt; politikken for acceptabel brug bekræftes af hver bruger. ISO/IEC 27001 kontrol 5.1 forventer, at politikker kommunikeres til og bekræftes af relevant personale og interesserede parter.
ISO/IEC 27001 kontrol 5.1 kræver gennemgang med planlagte intervaller og ved væsentlige ændringer. En årlig gennemgang er en fornuftig standard for en SMV; gennemførelsesforordning (EU) 2024/2690 regulerer også gennemgangen af politikken for de digitale enhedstyper, den omfatter.
En alvorlig hændelse, en fusion, en ny lokalitet, en overgang til cloud eller en ny regulering er alle grunde til at genåbne dokumentet uden at vente på årsdagen. Erfaringerne fra hændelser indgår i næste version.
Versionstabel, godkendelsesprotokol, liste over ændringer, bekræftelser. Den dag en revisor, et forsikringsselskab eller en kunde spørger, er denne historik det, der viser, at politikken anvendes og ikke blot er skrevet. ISO/IEC 27001 punkt 7.5 regulerer denne dokumenterede information.
Security Policy Express er designet som et selvbetjeningsværktøj. I bevarer kontrollen over indholdet; værktøjet leverer struktur, spørgsmål og referencer.
En kort test spørger til jeres sektor, størrelse, aktiviteter og kunder og fortæller, om NIS2 sandsynligvis gælder for jer, hvilke andre tekster der kan være relevante, og hvilke dele af politikken der betyder mest i jeres situation. Den henviser til jeres nationale myndigheds officielle værktøjer for et endeligt svar.
I besvarer med egne ord en række vejledende spørgsmål kapitel for kapitel: jeres organisation, jeres kritiske aktiviteter, jeres IT-leverandør, jeres backups, hvordan I håndterer fratrædelser, og hvad I ville gøre ved et ransomware-angreb. Hvert spørgsmål forklarer, hvorfor det stilles, og hvilken artikel eller kontrol det vedrører. I kan stoppe og genoptage når som helst.
Værktøjet genererer politikken, de fire procedurer og bilaget om acceptabel brug i jeres virksomheds navn ud fra jeres svar. Hvor et svar mangler, siger dokumentet det udtrykkeligt i stedet for at udfylde hullet med generisk tekst. Resultatet er et arbejdsudkast, som jeres egne rådgivere (advokat, IT-leverandør, databeskyttelsesrådgiver) skal gennemgå og validere, før ledelsen godkender det.
Hvis I ønsker hjælp til at udfordre jeres svar, tilpasse dokumentet til en særlig kontekst eller forberede en revision, kan I bede om støtte fra en partnerkonsulent. Dette trin er valgfrit: selvbetjeningsforløbet er komplet uden det.
Vigtigt: det genererede dokument er et arbejdsgrundlag. Det udgør ikke juridisk rådgivning, og det gør ikke i sig selv jeres virksomhed compliant med NIS2, ISO/IEC 27001, GDPR eller nogen national lov. Compliance afhænger af, hvad I faktisk implementerer, og er fortsat jeres ansvar.
Tre byggeklodser, genereret samlet ud fra den samme workshop. Tilgængelighed og vilkår annonceres ved lanceringen.
Kernedokumentet, underskrevet af ledelsen.
Det, der gør politikken operationel.
Så I kan finde rundt i teksterne.
To situationer må ikke forveksles: en juridisk forpligtelse for virksomheder inden for NIS2's (eller DORA's) anvendelsesområde, og en stærkt anbefalet god praksis for alle andre.
NIS2 gælder generelt for offentlige eller private enheder af en type, der er opført i bilag I eller II, og som kvalificerer sig som mellemstore virksomheder eller overskrider lofterne for mellemstore virksomheder, som defineret i Kommissionens henstilling 2003/361/EF (art. 2, stk. 1). Visse enhedstyper er omfattet uanset størrelse (art. 2, stk. 2). Enhederne klassificeres derefter som "væsentlige" eller "vigtige" (art. 3), hvilket påvirker tilsyn og sanktioner, men begge skal anvende artikel 21.
Bilag I (sektorer med høj kritikalitet): energi, transport, bank, infrastrukturer for finansmarkeder, sundhed, drikkevand, spildevand, digital infrastruktur, styring af IKT-tjenester (business-to-business), offentlig forvaltning og rum. Bilag II (andre kritiske sektorer): post- og kurertjenester, affaldshåndtering, kemikalier, fødevarer, fremstilling (herunder medicinsk udstyr, elektronik, elektrisk udstyr, maskiner og køretøjer), digitale udbydere og forskning.
NIS2 er et direktiv: medlemsstaterne skulle gennemføre det inden 17. oktober 2024 og anvende foranstaltningerne fra 18. oktober 2024 (art. 41). Gennemførelsesstatus og detaljer er forskellige fra land til land, og national lovgivning kan præcisere indholdet af foranstaltningerne. Tjek altid loven og de officielle værktøjer til vurdering af omfang i jeres land.
Uden for disse områder kræver ingen generel europæisk lov, at en SMV vedtager et dokument kaldet "informationssikkerhedspolitik". Men GDPR gælder for næsten alle virksomheder, kunder spørger i stigende grad leverandører om sikkerhed, og en skriftlig politik er første skridt i enhver anerkendt ramme. Det er et valg af forsigtighed, ikke en juridisk sanktion.
Kilder: Direktiv (EU) 2022/2555, art. 2, 3, 41 og bilag I og II · Kommissionens henstilling 2003/361/EF · Europa-Kommissionen, side om NIS2-direktivet · Frankrig: ANSSI, NIS 2-side (MesServicesCyber).
Hver regulatorisk eller normativ påstand ovenfor henviser til en af disse kilder. Links peger til den officielle udgiver.
Denne side er givet til orientering. Den udgør ikke juridisk rådgivning. Tekster citeres i den version, der er offentliggjort på EUR-Lex; nationale implementeringer og myndighedsvejledning kan tilføje krav.
Selvbetjeningsworkshoppen er under forberedelse. Spørgsmål i mellemtiden: contact@syaga.eu.