NIS2-beredskapspakke: en omfangskontroll, en gaprapport mot de ti sikkerhetstiltakene i artikkel 21 og utkast til retningslinjer, skrevet ut fra svarene dine innen 10 arbeidsdager

Leverandører av skytjenester, datasentertjenester, forvaltede tjenester og forvaltede sikkerhetstjenester er alle oppført i vedlegg I, og direktivet nevner programvare som en tjeneste (SaaS) blant modellene for skytjenester. For disse leverandørene er det landet der beslutningene dine om cybersikkerhetstiltak hovedsakelig tas, som fører tilsyn med deg. Omfangssjekken vurderer tjenestene dine opp mot disse definisjonene.

Det kan det. Etter artikkel 21(2)(d) må selskapene NIS2 omfatter, håndtere sikkerheten i forsyningskjeden sin, inkludert de direkte leverandørene, så de stiller sikkerhetskrav til leverandører som direktivet ikke omfatter. Omfangssjekken kan vise at du ikke er omfattet. Pakken blir da dokumentasjonen kundene ber om: skriftlige retningslinjer og en gaprapport du kan vise dem.

Retningslinjer for risikoanalyse og sikkerhet i informasjonssystemer; håndtering av hendelser; kontinuitet i driften, for eksempel sikkerhetskopier og katastrofegjenoppretting, og krisehåndtering; sikkerhet i forsyningskjeden; sikkerhet ved anskaffelse, utvikling og vedlikehold av systemer, inkludert håndtering og offentliggjøring av sårbarheter; vurdering av om tiltakene virker; grunnleggende cyberhygiene og opplæring; kryptografi og, der det er relevant, kryptering; personellsikkerhet, tilgangskontroll og forvaltning av eiendeler; og flerfaktorautentisering og sikker kommunikasjon, der det er relevant.

Etter artikkel 23 rapporteres en alvorlig hendelse til ditt CSIRT eller din nasjonale myndighet i flere trinn: en tidlig varsling innen 24 timer etter at du ble kjent med den, en hendelsesmelding innen 72 timer og en sluttrapport senest én måned etter meldingen. Rutinen i pakken sier hvem som bestemmer, hvem som rapporterer og hva hver rapport skal inneholde. Hvis du vil ha en fullstendig beredskapsplan for sikkerhetshendelser som blir skrevet og deretter testet sammen med teamet ditt, får du det med beredskapsplanen med bordøvelse for 690 €, betalt én gang.

Etter artikkel 20 godkjenner den sikkerhetstiltakene, fører tilsyn med hvordan de innføres og kan holdes ansvarlig for brudd, og medlemmene må gjennomføre opplæring. Sammendraget på én side gir den resultatet av omfangssjekken og de viktigste gapene, og opplæringspolicyen dekker ledelsens egen opplæring.

Det avhenger av landet ditt, og omfangssjekken gir trinnene for ditt. I Italia registrerer selskapene seg etter lovdekret 138/2024 på plattformen til det nasjonale cybersikkerhetsbyrået (ACN) hvert år mellom 1. januar og 28. februar. I Tyskland krever BSI-loven registrering hos det føderale byrået for informasjonssikkerhet (BSI) innen tre måneder etter at man første gang oppfyller vilkårene, via BSIs portal.

EU-landene måtte vedta lovene sine innen 17. oktober 2024 og anvende dem fra 18. oktober 2024, og de gjorde det til ulike tider. Den dagen vi leverer, sjekker vi gjeldende lov i landet ditt og sidene til myndigheten der, og omfangssjekken henviser til dem. Der en nasjonal lov ennå ikke har trådt i kraft, sier omfangssjekken fra om det og tar utgangspunkt i direktivet.

For brudd på artikkel 21 eller 23 må hvert land åpne for bøter på minst 10 millioner euro eller 2 % av total global årsomsetning, avhengig av hva som er høyest, for vesentlige enheter, og på minst 7 millioner euro eller 1,4 %, avhengig av hva som er høyest, for viktige enheter. Nasjonal lov fastsetter de nøyaktige beløpene.

Nei. Vi utarbeider omfangssjekken og dokumentene ut fra svarene dine og de publiserte tekstene. Vi er ikke et advokatfirma, og vi tester ikke systemene dine eller sertifiserer noe. Din egen jurist eller den nasjonale myndigheten har det siste ordet om omfanget, og pakken gjør deg ikke samsvarende alene.

Svarene dine leses av KI-modeller hvis leverandører er i USA, på kommersielle vilkår der leverandøren ikke trener på dem, og AIGROW trener ikke KI-modeller på dataene dine. Disse overføringene følger standard personvernbestemmelsene som EU-kommisjonen vedtok i 2021, og som databehandleravtalen vår inneholder. Vi sletter svarene dine, eventuelle dokumenter og arbeidsfilene våre 30 dager etter levering, eller tidligere hvis du ber om det.

Innen 10 arbeidsdager etter at vi har fått alle svarene dine. Hvis en myndighet eller en kunde trenger pakken tidligere, send e-post til hello@aigrow.gg før du betaler, så sier vi fra om vi kan holde datoen.