Det här är en opinionstext. Åsikter som uttrycks är skribentens egna.
NIS2 är EU:s, om inte världens, hittills mest omfattande cybersäkerhetsdirektiv. Det är en vidareutveckling av en förordning som infördes 2016 för att skärpa kraven på riskhantering och rapportering av cybersäkerhetsincidenter. För verksamheter som inte följer reglerna väntar hårda straff. NIS2 ska införas som nationell lag senast nästa höst den 17 oktober 2024.
NIS2 ska också göra att företag kan skydda sig bättre mot cyberattacker. Samtidigt är de strikta kraven avskräckande, särskilt för de branscher och företag som inte tidigare varit tvungna att följa så stränga regler.
Till exempel innebär NIS2 att man inte har mycket tid på sig att rapportera cybersäkerhetsincidenter. Företag blir skyldiga att utfärda en första varning om en cybersäkerhetsincident inom 24 timmar. Sedan måste man komma med mer detaljerad information inom 72 timmar – och där ska man också lämna en första bedömning av hur händelsen har påverkat verksamheten och sannolikheten för att det skett ett intrång. Efter en månad är det dags att lämna in en slutrapport där man förklarar vilka lärdomar man dragit.
Med den hotbild som vi lever med just nu är dessa tidsramar nästan omöjliga att hålla om säkerhetsteamen inte har rätt verktyg.
Den egna organisationen räcker inte till
När ett företag står inför nya säkerhetskrav är ofta den första reaktionen att sätta fler människor i arbete. Men även om det är viktigt att ha rätt kompetens på plats för att uppnå och leva efter reglerna är det inte en långsiktig eller hållbar lösning. Det finns helt enkelt inte tillräckligt med säkerhetsspecialister.
NIS2 kommer att förvärra den kompetensbristen ytterligare eftersom det är så många företag som berörs. De som har råd att anställa stora säkerhetsteam kommer att suga upp all tillgänglig kompetens för att hantera kraven. Övriga verksamheter har små chanser att hävda sig i den konkurrensen.
Komplexiteten i multimolnmiljöer och molnbaserade leveranser är ytterligare en utmaning för att leva upp till NIS2-kraven. De förändrar dramatiskt sättet som säkerhetsteam behöver arbeta med cybersäkerhet i framtiden.
I dag sker programvaruutveckling kontinuerligt med fler releaser och kortare testcykler för säkerhetsteamen. Därför är det sannolikt att man missar sårbarheter. Forskning har visat att endast 50 procent av CISO:er är helt säkra på att deras programvara har testats för sårbarheter innan den lanseras i produktion.
Automation kan snabbt ge en överblick
För att ha en chans att uppfylla kraven i NIS2 och skapa en hållbar sårbarhets- och incidenthantering måste man optimera och automatisera sina säkerhetsanalyser och rapporteringsprocesser. I praktiken är det omöjligt att med manuella metoder leverera den detaljnivå och noggrannhet om cybersäkerhetsincidenter som NIS2 kräver – och inom de snäva tidsramarna. Företag behöver därför ha realtidsinformation om sin säkerhetsstatus och en tydlig översikt av sin hybrid- och multimolnmiljö.
För att bedöma allvaret i och följderna av olika incidenter måste man kunna kombinera säkerhetsarbetet med övervakningsdata och automatisera sårbarhetsanalyser. Med den kunskapen kan säkerhetsansvariga se vilka åtgärder som krävs och identifiera vilka system som har påverkats under en incident. Då kan man också se hur man löser problemen och agera snabbt.
Att gå längre än bara regelefterlevnad
Företag behöver också gå längre än att uppfylla NIS2-kraven. I stället för att bara fokusera på att upptäcka och rapportera problem i produktionen bör de också förebygga dem. Exempelvis genom att tidigarelägga valda tester och processer som gör säkerheten till en naturlig del av utvecklingslivscykeln för programvara.
Säkerhets- och utvecklingsteam kan samarbeta för att i ett tidigt skede se till att programvaran inte går vidare om inte båda teamen är övertygade om att den är säker. Automatiserade kvalitets- och säkerhetsfunktioner är ett bra sätt att ta bort den manuella arbetsinsatsen som vanligtvis krävs i den processen. Genom att kombinera det med övervakningsdata kan sårbarheter och fel upptäckas automatiskt. Det ger utvecklarna en chans att lösa dem innan koden flyttas till nästa leveranssteg.
Hösten 2024 och NIS2 är snart här och räkna med att myndigheterna kommer att fortsätta skärpa säkerhetskraven. Företagen har inte råd att vara långsamma. Redan nu är det hög tid att börja agera och se till att man har en bra överblick och rätt verktyg för att ligga steget före det nya regelverket.
