ISO 27001 og NIS-2: Sådan gør virksomheder informationssikkerhed audit-sikker

Indledning: Cybersikkerhed er blevet en sag for ledelsen

Ransomwareangreb, kompromitterede forsyningskæder og daglige phishingbølger: Trusselsbilledet i det digitale rum har nået et historisk højdepunkt. Samtidig strammer lovgiveren skruen. Med det europæiske NIS-2-direktiv er pligterne inden for cybersikkerhed blevet udvidet markant – og de rammer nu titusindvis af virksomheder, der hidtil ikke har opfattet sig selv som »kritisk infrastruktur«.

Særligt alvorligt: Ved pligtforsømmelse hæfter direktører fremover i visse tilfælde personligt med deres private formue.

På den baggrund er den internationale standard ISO/IEC 27001 for mange organisationer gået fra at være et rent it-statussymbol til at blive en eksistentiel livsforsikring. Men hvordan spiller ISO 27001 og NIS-2 sammen? Og hvordan etablerer man et informationssikkerhedsledelsessystem (ISMS), der ikke kun findes på papiret, men holder til både audit og virkeligheden?

Hvad regulerer ISO/IEC 27001?

ISO/IEC 27001 er den førende globale standard for informationssikkerhedsledelsessystemer. Standardens mål er at beskytte informationssikkerhedens tre grundværdier (den såkaldte CIA-triade):

• Confidentiality (fortrolighed): Kun autoriserede personer har adgang til følsomme data.
• Integrity (integritet): Data er korrekte, fuldstændige og beskyttet mod uautoriseret manipulation.
• Availability (tilgængelighed): Systemer og information er til rådighed, når der er brug for dem.

Det afgørende er: ISO 27001 er ikke en ren it-standard. Den anskuer informationssikkerhed helhedsorienteret. Det omfatter fysisk sikkerhed (adgangskontrol), organisatoriske processer (beredskabshåndbøger, offboarding af medarbejdere) samt personalemæssige tiltag (awareness-kurser og sikkerhedsretningslinjer).

ISO 27001 og NIS-2 i direkte sammenligning

Mange virksomheder stiller spørgsmålet: »Hvis vi er certificeret efter ISO 27001, har vi så også automatisk opfyldt NIS-2?«

Det ærlige svar er: Ja, for 80 til 90 procents vedkommende.

NIS-2-direktivet formulerer bindende minimumskrav på områder som:

• Risikoanalyser og sikkerhed for informationssystemer
• Håndtering af sikkerhedshændelser (incident handling), herunder stramme indberetningsfrister (for eksempel en tidlig varsling inden for 24 timer)
• Opretholdelse af driften (business continuity og backupstyring)
• Sikkerhed i forsyningskæden (supply chain security)
• Kryptering og adgangskontrol

Netop disse områder dækkes struktureret af Annex A i ISO/IEC 27001 (i den aktuelle udgave med 93 controls fordelt på 4 emneområder). Den, der kan fremvise et levet ISMS efter ISO 27001, har allerede dokumenteret, operationaliseret og fået auditeret de tekniske og organisatoriske foranstaltninger (TOM'er) til NIS-2. Kun de specifikke lovpligtige indberetningsveje til nationale myndigheder skal suppleres operativt.

Opbygning af et effektivt ISMS i 5 trin

Et vellykket ISMS opstår ikke fra den ene dag til den anden, men kan med et klart fokus gennemføres effektivt:

1. Definér anvendelsesområdet (scope)

Fastlæg præcist, hvilke virksomhedsområder, lokationer, produkter eller tjenester ISMS'et skal dække. For mange it-leverandører omfatter det i første omgang cloudinfrastrukturen og kerneapplikationerne.

2. Risikovurdering og risikohåndtering

Identificér jeres vigtigste værdier (information assets): Kundedata, kildekode, produktionsplaner. Hvilke trusler og sårbarheder findes der? Hvilke risici reduceres med tekniske foranstaltninger (for eksempel multifaktorautentifikation og segmentering), og hvilke accepteres eller forsikres?

3. Erklæring om anvendelighed (Statement of Applicability – SoA)

I SoA dokumenterer I, hvilke af de 93 controls i Annex A der er relevante for jeres virksomhed, og hvordan de er implementeret. Hvis controls udelukkes, skal det begrundes sammenhængende.

4. Retningslinjer og medarbejderawareness

Sikkerhed fejler oftest på den menneskelige faktor. Etablér forståelige politikker (clean desk, adgangskodepolitik, håndtering af mobile enheder), og gennemfør regelmæssige kurser og simulerede phishingtests.

5. Internt audit og ledelsens evaluering

Før den eksterne auditor kommer, gennemgår interne auditorer systemet til bunds. Ledelsen vurderer nøgletallene og frigiver ressourcer til forbedringer.

Fordelene ved certificering over for kunder og partnere

Ud over de lovpligtige krav har ISO 27001 en betydelig kommerciel løftestang:

• Kortere salgscyklusser: Enterprisekunder kræver før kontraktsindgåelse sikkerhedsspørgeskemaer på mange sider. Med et anerkendt ISO 27001-certifikat bortfalder dette arbejde som regel helt.
• Konkurrencefordel ved udbud: Offentlige ordregivere og regulerede brancher (banker, forsikring, automotive) lader ofte ucertificerede leverandører slet ikke komme til pitchet.
• Styrket cyberresiliens: En struktureret proces sikrer, at sikkerhedshuller lukkes, før angribere udnytter dem.

Konklusion

ISO 27001 er i dag fundamentet for enhver virksomhed, der skaber værdi digitalt. Den forvandler vage sikkerhedsbekymringer til målbare processer og beskytter ledelsen mod ansvarsrisici.

Planlægger I jeres ISO 27001-certificering?
Hos cert-authority.com følger vi jer transparent og i partnerskab gennem auditprocessen med erfarne fagspecialister. Få et overblik over vores priser og pakker.