NIS2 och cybersäkerhets­lagen – så får ni struktur på riskhanteringen

NIS2 och cybersäkerhets­lagen: så får ni struktur på riskhanteringen

Riskanalysen är genomförd. Men var finns besluten, vem ansvarar för åtgärderna och hur vet ni att riskerna faktiskt har minskat?

För verksamheter som omfattas av cybersäkerhets­lagen behöver riskhanteringen fungera över tid. Identifierade risker ska kunna omsättas till säkerhets­åtgärder som genomförs, följs upp och utvärderas.

Det kräver ett arbetssätt där risker, ansvar och dokument­ation hänger ihop. Här går vi igenom hur ni kan skapa den strukturen och hur M-Files kan stödja arbetet.

Vad innebär NIS2 och cybersäkerhets­lagen för riskhanteringen?

NIS2 är ett EU-direktiv som i Sverige genomförs delvis genom cybersäkerhets­lagen. Lagen ställer krav på att berörda verksamheter vidtar lämpliga och proportionella säkerhets­åtgärder för att skydda sina nätverks- och informations­system. Åtgärderna ska bland annat omfatta strategier för riskanalys, incidenthantering, kontinuitet och säkerhet i leveranskedjan.

NCSC beskriver arbetet som systematiskt och riskbaserat: verksamheten behöver identifiera och bedöma risker, införa säkerhets­åtgärder och sedan följa upp om skyddet fungerar. Riskhanteringen behöver därför vara en återkommande del av verksamhetens styrning.

Vilka skyldigheter som gäller för just er behöver bedömas utifrån verksamheten och tillämpliga regler. Den här artikeln fokuserar på hur ni kan organisera dokument­ationen och uppföljningen.

När risker, beslut och åtgärder hamnar på olika ställen

En riskanalys kan ligga i ett dokument, åtgärderna i en Excel-lista och besluten i mötes­anteckningar eller e-post. Varje del kan vara väl genomarbetad, samtidigt som helheten blir svår att följa.

Då uppstår frågor som:

• Vilken risk ska den här åtgärden hantera?
• Vem ansvarar för att den blir genomförd?
• Vilket beslut ligger bakom prioriteringen?
• Var finns underlaget som visar vad som har gjorts?
• Har åtgärden minskat risken tillräckligt?

Ett användbart arbetssätt behöver göra dessa samband tydliga. Den som ansvarar för en risk ska kunna följa både bedömningen och det fortsatta arbetet.

Så kan ni strukturera riskhanteringen i fem steg

1. Dokument­era risken och dess sammanhang

Beskriv vad som kan inträffa, varför det kan inträffa och vilka konsekvenser det kan få. Koppla risken till berörd information, process, tjänst eller system.

En beskrivning som ”leverantörs­risk” ger begränsat stöd för beslut. Beskriv hellre vilket beroende som finns och hur verksamheten kan påverkas vid en störning.

2. Bedöm och prioritera

Använd en gemensam metod för att bedöma sannolikhet och konsekvens. Dokument­era befintliga skyddsåtgärder och underlaget för bedömningen.

Det gör det lättare att förstå varför vissa risker prioriteras framför andra och att ompröva bedömningen när förutsättningarna förändras.

3. Besluta hur risken ska hanteras

Dokument­era beslutet och vem som har fattat det. Ska ytterligare åtgärder genomföras? Behöver ett beroende förändras? Kan en kvarvarande risk accepteras av rätt beslutsfattare?

Skilj gärna mellan den som äger risken och den som ansvarar för en viss åtgärd. Flera person­er kan behöva bidra till att hantera samma risk.

4. Koppla åtgärder till ansvar och tids­frister

Varje beslutad åtgärd behöver ha en ansvarig, en status och en tidpunkt för genomförande eller uppföljning.

Beskriv även vad som krävs för att åtgärden ska kunna betraktas som genomförd. Det kan exempelvis vara ett godkänt dokument, ett utfört test eller en verifierad förändring.

5. Följ upp effekten och uppdatera bedömningen

När åtgärden är genomförd behöver ni bedöma resultatet. Har risken minskat? Finns brister kvar? Behövs ytterligare insatser?

Spara underlaget och bestäm när nästa uppföljning ska ske. På så sätt kan ni följa hur bedömningen utvecklas över tid.

Vad bör ett riskregister innehålla?

Ett riskregister kan ge en gemensam överblick över riskerna och hur de hanteras. Ett praktiskt upplägg kan innehålla:

DelVad ni dokument­erarRisk och sammanhangHändelse, orsak och berörd information, process eller systemRiskbedömningSannolikhet, konsekvens och befintliga skyddsåtgärderRiskägare och beslutVem som ansvarar för risken och hur den ska hanterasPlanerade åtgärderVad som ska göras, av vem och närStatus och underlagVad som pågår, är genomfört eller behöver följas uppKvarvarande riskBedömningen efter åtgärder och datum för nästa uppföljning

Detta är ett exempel på struktur. Innehållet behöver anpassas efter er riskmetod, verksamhet och tillämpliga krav.

Tänk också på åtkomsten. Riskbedömningar kan innehålla känsliga uppgifter om sårbarheter och beroenden. Informationen behöver vara tillgänglig för rätt person­er och skyddad utifrån sitt innehåll.

Hur kan M-Files stödja riskhanteringen?

M-Files kan konfigureras för att koppla samman riskbedömningar, åtgärder, ansvariga och relevanta dokument. M-Files beskriver också riskhantering som ett användningsområde där bedömning och uppföljning kan knytas till åtgärder och kontroller.

I en anpassad lösning kan ni exempelvis:

• Samla risker och koppla dem till berörda system, processer eller leverantörer.
• Koppla beslutade åtgärder till ansvariga, status och tids­frister.
• Skapa vyer över öppna åtgärder och kommande uppföljningar.
• Hantera riskanalyser, rutiner och beslutsunderlag med versions­hantering.
• Använda behörigheter, arbetsflöden och påminnelser för att stödja arbetssättet.

Ett konkret exempel: uppföljning av ett leverantörs­beroende

Anta att ni identifierar ett beroende av en extern tjänst. Ett längre avbrott skulle påverka en viktig verksamhets­process.

I en konfigurerad M-Files-lösning kan riskbedömningen kopplas till leverantören, relevanta avtal och en kontinuitetsplan. Beslutade åtgärder får ansvariga och tids­frister. När en åtgärd är genomförd kan underlaget kopplas till samma risk inför uppföljningen.

Detta är ett illustrativt exempel. Nyttan ligger i att sambandet mellan risk, beslut, åtgärd och resultat blir lättare att följa.

Börja med ett avgränsat område

Ett första steg kan vara att strukturera risker och åtgärder för en utvald process eller ett antal viktiga leverantörer.

Bestäm vilka uppgifter som behövs, vem som äger informationen och hur uppföljningen ska fungera. Använd sedan erfarenheterna för att utveckla arbetssättet.

M-Files kan stödja dokument­ation och arbetsflöden i NIS2-arbetet. Verksamheten behöver samtidigt säkerställa att de organisatoriska, tekniska och övriga säkerhets­åtgärder som krävs genomförs. Ett systeminförande innebär inte i sig fullständig regelefterlevnad.

Så hjälper Svedok er att komma igång

Svedok hjälper er att omsätta er riskmetod och era dokument­ationsbehov till ett arbetssätt i M-Files. Vi kan konfigurera struktur, metadata, behörigheter, vyer och arbetsflöden samt utbilda användarna.

Vill ni få bättre överblick över risker, ansvar och åtgärder?

Kontakta Svedok för att diskutera hur M-Files kan stödja er riskhantering och uppföljning.

Ni hittar också fler svar på vår FAQ-sida om M-Files, under kategorin Riskhantering & NIS2.