NIS2-beredskapspaket: en omfattningskontroll, en gaprapport mot de tio säkerhetsåtgärderna i artikel 21 och dina startpolicyer, skrivna utifrån dina svar inom 10 arbetsdagar

Leverantörer av molntjänster, datacentertjänster, hanterade tjänster och hanterade säkerhetstjänster finns alla i bilaga I, och direktivet nämner programvara som en tjänst bland molntjänsternas tjänstemodeller. För dessa leverantörer är det landet där besluten om dina cybersäkerhetsåtgärder huvudsakligen fattas som utövar tillsynen över dig. Omfattningskontrollen ställer dina tjänster mot dessa definitioner.

Det kan det vara. Enligt artikel 21.2 d måste de företag som NIS2 omfattar hantera säkerheten i sin leveranskedja, inklusive sina direkta leverantörer, och därför ställer de säkerhetskrav på leverantörer som direktivet inte omfattar. Omfattningskontrollen kan visa att du inte omfattas. Paketet blir då det underlag som dessa kunder efterfrågar: skriftliga policyer och en gaprapport som du kan visa upp för dem.

Policyer för riskanalys och informationssystemsäkerhet; incidenthantering; verksamhetskontinuitet, till exempel säkerhetskopiering och katastrofåterställning, samt krishantering; säkerhet i leveranskedjan; säkerhet vid anskaffning, utveckling och underhåll av system, inklusive hantering och utlämnande av sårbarheter; bedömning av om åtgärderna fungerar; grundläggande cyberhygien och utbildning; kryptografi och, när det är lämpligt, kryptering; personalsäkerhet, åtkomstkontroll och hantering av tillgångar; samt flerfaktorsautentisering och säkrad kommunikation, när det är lämpligt.

Enligt artikel 23 rapporteras en betydande incident till ditt CSIRT eller din nationella myndighet i flera steg: en tidig varning inom 24 timmar efter att du fått kännedom om den, en incidentanmälan inom 72 timmar och en slutrapport senast en månad efter anmälan. Rutinen i paketet anger vem som beslutar, vem som rapporterar och vad varje rapport ska innehålla. Vill du ha en fullständig incidenthanteringsplan som skrivs och sedan testas med ditt team gör incidenthanteringsplanen med scenarioövning det för 690 €, betalt en gång.

Enligt artikel 20 godkänner det säkerhetsåtgärderna, övervakar hur de genomförs och kan hållas ansvarigt för överträdelser, och dess medlemmar måste gå utbildning. Sammanfattningen på en sida ger det resultatet av omfattningskontrollen och de viktigaste bristerna, och utbildningspolicyn omfattar dess egen utbildning.

Det beror på ditt land, och omfattningskontrollen anger stegen för just ditt. I Italien registrerar sig företag enligt lagstiftande dekret 138/2024 på den nationella cybersäkerhetsmyndighetens (ACN) plattform varje år mellan 1 januari och 28 februari. I Tyskland kräver BSI-lagen registrering hos Bundesamt für Sicherheit in der Informationstechnik (BSI) inom tre månader efter att företaget först omfattas, via BSI:s portal.

EU-länderna skulle anta sina lagar senast 17 oktober 2024 och tillämpa dem från 18 oktober 2024, och de gjorde det vid olika tidpunkter. Den dag vi levererar kontrollerar vi vilken lag som gäller i ditt land och myndighetens webbsidor, och omfattningskontrollen hänvisar till dem. Om en nationell lag ännu inte har trätt i kraft anger omfattningskontrollen det och utgår från direktivet.

Vid överträdelser av artikel 21 eller 23 måste varje land tillåta böter för väsentliga entiteter på upp till minst 10 miljoner euro eller 2 % av den totala globala årsomsättningen, beroende på vilket belopp som är högst, och för viktiga entiteter på upp till minst 7 miljoner euro eller 1,4 %, beroende på vilket belopp som är högst. Den nationella lagen fastställer de exakta beloppen.

Nej. Vi tar fram omfattningskontrollen och dokumenten utifrån dina svar och de publicerade texterna. Vi är ingen advokatbyrå, och vi testar inte dina system och certifierar ingenting. Din egen juridiska rådgivare eller den nationella myndigheten har sista ordet om omfattningen, och paketet gör dig inte regelefterlevande i sig.

Dina svar läses av AI-modeller vars leverantörer finns i USA, enligt kommersiella villkor där leverantören inte tränar på dem, och AIGROW tränar inte AI-modeller på dina data. Dessa överföringar följer de standardavtalsklausuler som Europeiska kommissionen antog 2021 och som ingår i vårt personuppgiftsbiträdesavtal. Vi raderar dina svar, eventuella dokument och våra arbetsfiler 30 dagar efter leverans, eller tidigare om du ber oss.

Inom 10 arbetsdagar efter att vi fått dina fullständiga svar. Om en myndighet eller en kund behöver paketet tidigare kan du mejla hello@aigrow.gg innan du betalar, så berättar vi om vi kan hålla datumet.