ISO 27001 och NIS-2: så gör företag informationssäkerheten revisionssäker

Inledning: Cybersäkerhet har blivit en ledningsfråga

Ransomware-attacker, komprometterade leveranskedjor och dagliga vågor av nätfiske: hotbilden i det digitala rummet har nått en historisk toppnivå. Samtidigt skruvar lagstiftaren åt tumskruvarna. Med det europeiska NIS-2-direktivet har skyldigheterna kring cybersäkerhet utvidgats drastiskt – och berör nu tiotusentals företag som hittills inte har sett sig som ”kritisk infrastruktur”.

Särskilt brisant: verkställande direktörer kan framöver vid pliktförsummelse i vissa fall hållas personligen ansvariga med sin privata förmögenhet.

Mot den bakgrunden har den internationella standarden ISO/IEC 27001 för många organisationer gått från en renodlad IT-statussymbol till en existentiell livförsäkring. Men hur griper ISO 27001 och NIS-2 in i varandra? Och hur kan man etablera ett ledningssystem för informationssäkerhet (ISMS) som inte bara finns på papperet, utan håller för både revisionen och verkligheten?

Vad reglerar ISO/IEC 27001?

ISO/IEC 27001 är världens ledande standard för ledningssystem för informationssäkerhet. Standardens mål är att skydda informationssäkerhetens tre grundvärden (den så kallade CIA-triaden):

• Confidentiality (konfidentialitet): Endast behöriga personer har åtkomst till känsliga data.
• Integrity (integritet): Data är korrekta, fullständiga och skyddade mot obehörig manipulering.
• Availability (tillgänglighet): System och information finns tillgängliga när de behövs.

Det avgörande är: ISO 27001 är inte en renodlad IT-standard. Den betraktar informationssäkerhet holistiskt. Det omfattar fysisk säkerhet (tillträdeskontroller), organisatoriska processer (beredskapshandböcker, offboarding av medarbetare) samt personella åtgärder (medvetenhetsutbildningar, säkerhetsriktlinjer).

ISO 27001 och NIS-2 i direkt jämförelse

Många företag ställer sig frågan: ”Om vi är certifierade enligt ISO 27001, har vi då också automatiskt uppfyllt NIS-2?”

Det ärliga svaret lyder: till 80 till 90 procent ja.

NIS-2-direktivet formulerar bindande minimikrav inom områden som:

• Riskanalyser och säkerhet för informationssystem
• Hantering av säkerhetsincidenter (incident handling), inklusive strikta anmälningstider (t.ex. en förvarning inom 24 timmar)
• Upprätthållande av verksamheten (business continuity och backup-hantering)
• Säkerhet i leveranskedjan (supply chain security)
• Kryptering och åtkomstkontroll

Exakt dessa områden täcks strukturerat av Annex A i ISO/IEC 27001 (i den aktuella versionen med sina 93 kontroller inom 4 temaområden). Den som kan visa upp ett levande ISMS enligt ISO 27001 har redan dokumenterat, operationaliserat och låtit revidera de tekniska och organisatoriska åtgärderna för NIS-2. Endast specifika lagstadgade rapporteringsvägar till nationella myndigheter behöver kompletteras operativt.

Uppbyggnaden av ett verksamt ISMS i fem steg

Ett framgångsrikt ISMS uppstår inte över en natt, men kan med tydligt fokus införas effektivt:

1. Definiera tillämpningsområdet (scope)

Fastställ exakt vilka företagsdelar, anläggningar, produkter eller tjänster som ska omfattas av ISMS. För många IT-leverantörer omfattar det till en början molninfrastrukturen och kärnapplikationerna.

2. Riskbedömning och riskbehandling

Identifiera era viktigaste tillgångar (information assets): kunddata, källkod, produktionsplaner. Vilka hot och sårbarheter finns? Vilka risker minskas genom tekniska åtgärder (t.ex. multifaktorautentisering, segmentering), vilka accepteras eller försäkras?

3. Förklaring om tillämplighet (Statement of Applicability – SoA)

I SoA dokumenterar ni vilka av de 93 kontrollerna i Annex A som är relevanta för ert företag och hur de har genomförts. Om kontroller utesluts måste det motiveras på ett övertygande sätt.

4. Riktlinjer och medarbetarnas medvetenhet

Säkerhet fallerar oftast på den mänskliga faktorn. Etablera begripliga policyer (clean desk, lösenordsriktlinjer, hantering av mobila enheter) och genomför regelbundna utbildningar och simulerade nätfisketester.

5. Intern revision och ledningens genomgång

Innan den externa revisorn kommer granskar interna revisorer systemet in i minsta detalj. Företagsledningen utvärderar nyckeltalen och frigör resurser för förbättringar.

Fördelarna med certifiering hos kunder och partner

Utöver lagstadgade skyldigheter har ISO 27001 en enorm kommersiell hävstång:

• Kortare säljcykler: Enterprise-kunder kräver långa säkerhetsformulär innan avtal tecknas. Med ett erkänt ISO 27001-certifikat bortfaller det arbetet i regel helt.
• Konkurrensfördel vid upphandlingar: Offentliga uppdragsgivare och reglerade branscher (banker, försäkringsbolag, fordonsindustri) släpper ofta inte ens in ocertifierade leverantörer till pitchen.
• Stärkt cyberresiliens: En strukturerad process ser till att säkerhetsluckor stängs innan angripare utnyttjar dem.

Slutsats

ISO 27001 är i dag grunden för varje företag som skapar värden digitalt. Den omvandlar vag oro för säkerheten till mätbara processer och skyddar företagsledningen mot ansvarsrisker.

Planerar ni er ISO 27001-certifiering?
På cert-authority.com följer vi er transparent och i partnerskap genom revisionsprocessen med erfarna fackrevisorer. Få en överblick över våra priser och paket.