Kunskap · NIS2 · Artikel 21
Tio åtgärdsområden, i proportion till er risk.
Väsentliga och viktiga verksamhetsutövare ska vidta lämpliga och proportionerliga tekniska, operativa och organisatoriska åtgärder för att hantera riskerna för sina nätverks- och informationssystem – med en allriskansats.
Vad den kräver
På vanlig svenska.
- Policyer för riskanalys och informationssystemens säkerhet
- Incidenthantering
- Kontinuitet – säkerhetskopiering, katastrofåterställning och krishantering
- Säkerhet i leveranskedjan, inklusive era direkta leverantörer
- Säkerhet vid anskaffning, utveckling och underhåll, inklusive hantering av sårbarheter
- Policyer för att bedöma hur effektiva åtgärderna är
- Grundläggande cyberhygien och utbildning i cybersäkerhet
- Kryptografi och, där det är relevant, kryptering
- Personalsäkerhet, åtkomstkontroll och tillgångsförvaltning
- Flerfaktorsautentisering och skyddad kommunikation
Sammanfattning av NIS2 artikel 21 (direktiv (EU) 2022/2555). Inte juridisk rådgivning – läs den officiella texten på EUR-Lex.
I praktiken
Vad som krävs.
De flesta organisationer har delar av detta redan. Arbetet är att visa vilken åtgärd som täcker vilken punkt, vem som äger den och att den följs upp – även i era leverantörsavtal.
- KontrollerDe tio områdena som kontroller, var och en med en ägare
- LeverantörsgranskningarEtt riskbaserat granskningsflöde för direkta leverantörer
- AvtalskravSäkerhetsvillkor granskade i avtalen ni har skrivit på
- BevisInsamlat där arbetet sker, inte inför revisionen
Så går det till i Paragraf – på samma grund som era avtal och processer.
Nästa steg
Se NIS2 artikel 21
med era egna krav.
Boka en genomgång. Vi visar tråden från den här artikeln till kontrollen, ägaren och beviset – i er egen miljö.