NIS2-parathedspakke: en kontrol af anvendelsesområdet, en gaprapport mod de ti sikkerhedsforanstaltninger i artikel 21 og dine politikudkast, skrevet ud fra dine svar inden for 10 arbejdsdage

Udbydere af cloud computing-tjenester, datacentertjenester, managed service-tjenester og managed security service-tjenester er alle opført i bilag I, og direktivet nævner software as a service blandt cloud computing-servicemodellerne. For disse udbydere er det det land, hvor beslutningerne om cybersikkerhedsforanstaltninger hovedsagelig træffes, der fører tilsyn med dig. Omfangstjekket holder dine tjenester op imod disse definitioner.

Det kan det være. Ifølge artikel 21, stk. 2, litra d skal de virksomheder, som NIS2 omfatter, styre sikkerheden i deres forsyningskæde, herunder hos deres direkte leverandører, og derfor stiller de sikkerhedskrav til leverandører, som direktivet ikke omfatter. Omfangstjekket kan vise, at I ikke er omfattet. Pakken bliver så det dokumentationssæt, som disse kunder efterspørger: skriftlige politikker og en gaprapport, som I kan vise dem.

Politikker for risikoanalyse og informationssystemers sikkerhed; håndtering af hændelser; driftskontinuitet, f.eks. backup og katastrofeberedskab, samt krisestyring; forsyningskædesikkerhed; sikkerhed ved anskaffelse, udvikling og vedligeholdelse af systemer, herunder håndtering og offentliggørelse af sårbarheder; vurdering af, om foranstaltningerne virker; grundlæggende cyberhygiejne og uddannelse; kryptografi og, hvor det er relevant, kryptering; personalesikkerhed, adgangskontrol og styring af aktiver; samt multifaktorautentificering og sikret kommunikation, hvor det er relevant.

Efter artikel 23 skal en væsentlig hændelse indberettes til dit CSIRT eller din nationale myndighed i flere trin: en tidlig varsling inden for 24 timer efter, at du er blevet opmærksom på den, en hændelsesindberetning inden for 72 timer og en afsluttende rapport senest en måned efter indberetningen. Proceduren i pakken beskriver, hvem der beslutter, hvem der indberetter, og hvad hver indberetning skal indeholde. Hvis du vil have en komplet beredskabsplan skrevet og derefter testet sammen med dit team, klarer beredskabsplanen med tabletop-øvelse det for 690 €, betalt én gang.

Ifølge artikel 20 godkender det sikkerhedsforanstaltningerne, fører tilsyn med, hvordan de gennemføres, og kan holdes ansvarligt for overtrædelser, og dets medlemmer skal deltage i uddannelse. Resuméet på én side giver det resultatet af omfangstjekket og de vigtigste mangler, og uddannelsespolitikken dækker dets egen uddannelse.

Det afhænger af dit land, og omfangstjekket angiver trinnene for netop dit. I Italien registrerer virksomhederne sig i henhold til lovdekret 138/2024 hvert år mellem 1. januar og 28. februar på platformen hos det nationale cybersikkerhedsagentur (ACN). I Tyskland kræver BSI-loven registrering hos det føderale kontor for informationssikkerhed (BSI) senest tre måneder efter, at virksomheden første gang opfylder kriterierne, via BSI's portal.

EU-landene skulle vedtage deres love senest den 17. oktober 2024 og anvende dem fra den 18. oktober 2024, og de har gjort det på forskellige tidspunkter. På leveringsdagen tjekker vi den gældende lovgivning i dit land og myndighedens sider, og omfangstjekket henviser til dem. Hvis en national lov endnu ikke er trådt i kraft, skriver omfangstjekket det og tager udgangspunkt i direktivet.

Ved overtrædelser af artikel 21 eller 23 skal hvert land åbne mulighed for bøder på mindst op til 10 millioner euro eller 2 % af den samlede globale årsomsætning, alt efter hvad der er højest, for væsentlige enheder og mindst op til 7 millioner euro eller 1,4 %, alt efter hvad der er højest, for vigtige enheder. De præcise beløb fastsættes i den nationale lov.

Nej. Vi udarbejder omfangstjekket og dokumenterne ud fra dine svar og de offentliggjorte tekster. Vi er ikke et advokatfirma, og vi tester ikke dine systemer og certificerer ikke noget. Din egen juridiske rådgiver eller den nationale myndighed har det sidste ord om omfanget, og pakken gør dig ikke i sig selv compliant.

Dine svar læses af AI-modeller, hvis udbydere er i USA, på kommercielle vilkår, hvor udbyderen ikke træner på dem, og AIGROW træner ikke AI-modeller på dine data. Disse overførsler følger de standardkontraktbestemmelser, som Europa-Kommissionen vedtog i 2021, og som vores databehandleraftale indeholder. Vi sletter dine svar, eventuelle dokumenter og vores arbejdsfiler 30 dage efter levering, eller tidligere, hvis du beder om det.

Inden for 10 arbejdsdage efter, at vi har modtaget alle dine svar. Hvis en myndighed eller en kunde har brug for pakken hurtigere, så skriv til hello@aigrow.gg, før du betaler, så fortæller vi dig, om vi kan nå datoen.