Regulering · Fysisk sikkerhed
NIS2 og den fysiske sikkerhed man glemmer
NIS2 bliver læst som en cyberregulering, og arbejdet lander hos IT. Men kravene handler udtrykkeligt også om de fysiske omgivelser omkring systemerne — og det er den del, der sjældent har en ejer.
Christian Tang Mathiasen · · 6 min læsning
Når vi bliver hentet ind i et NIS2-forløb, er det som regel sent. Politikkerne er skrevet, leverandørerne er kortlagt, logningen er på plads. Så spørger nogen, hvem der egentlig har set på, om man kan gå ind ad varemodtagelsen og stå i teknikrummet ti minutter senere.
Det spørgsmål har typisk ikke haft en ejer. Ikke fordi nogen har forsømt noget, men fordi det falder ned mellem to organisationer, der ikke plejer at dele risikobillede.
Kort om, hvad NIS2 kræver
NIS2 er et EU-direktiv fra 2022, der afløser det oprindelige NIS-direktiv. Det udvider kravene til flere sektorer, inddeler de omfattede organisationer i væsentlige og vigtige enheder, skærper tilsyn og sanktioner — og placerer ansvaret hos ledelsen, ikke hos IT-afdelingen.
Direktivet skulle være omsat til national ret i oktober 2024. Danmark nåede ikke fristen, og den danske implementering kom senere. Tilsynet er fordelt, så hvilken myndighed I hører under, afhænger af jeres sektor.
Selve kernen er kort: I skal træffe passende og forholdsmæssige tekniske, driftsmæssige og organisatoriske foranstaltninger til at styre risici — og I skal kunne vise, at de virker. Der står ikke, hvilke produkter I skal købe. Der står, at risikoen skal være styret, og at nogen skal have vurderet effekten.
Hvor det fysiske står i teksten
Artikel 21 er det sted, hvor foranstaltningerne beskrives. To ting i den artikel er værd at læse langsomt.
Det første er, at foranstaltningerne skal bygge på en all-hazards-tilgang: de skal beskytte net- og informationssystemerne og de fysiske omgivelser omkring dem mod hændelser. Altså ikke kun mod noget, der kommer over netværket. En hændelse kan lige så godt være vand, strøm, brand, hærværk eller et menneske, der stod et sted, det ikke skulle stå.
Det andet er listen over minimumsforanstaltninger. Den bliver ofte læst som en it-liste, men flere af punkterne kan slet ikke opfyldes med teknik alene:
- Adgangskontrolpolitikker — også fysisk adgang. Hvem kan gå hen og stå ved udstyret?
- Aktivstyring — hvor står tingene, hvem har dem, og hvad sker der, når de flytter sig?
- Personalesikkerhed — hvad sker der med kort, nøgler og adgange ved ansættelse, rolleskift og fratrædelse?
- Forsyningskædesikkerhed — leverandørrisiko er ikke kun software. Det er også, hvem der har en nøgle, en kode eller en fast aftale om at komme uden for åbningstid.
- Håndtering af hændelser og driftskontinuitet — begge dele forudsætter, at nogen opdager, at der er sket noget.
- Procedurer til at vurdere, om foranstaltningerne virker — altså afprøvning, ikke selvevaluering i et regneark.
Derudover har Kommissionen fastsat mere detaljerede tekniske krav for visse typer digitale udbydere i en gennemførelsesretsakt. De organisationer, den gælder for, får den fysiske sikring skrevet ud i klartekst: perimeter, adgang til lokaler, beskyttelse mod fysiske og miljømæssige trusler og sikring af forsyninger som strøm og køling. Er I ikke omfattet af netop den retsakt, er den stadig den bedste tilgængelige anvisning på, hvad »de fysiske omgivelser« konkret dækker over.
Og hører I under kritisk infrastruktur, findes der et parallelt EU-direktiv om kritiske enheders modstandsdygtighed — CER — hvor den fysiske sikring ikke er en fodnote, men hele formålet. En del organisationer er omfattet af begge dele på én gang.
Hvorfor den del alligevel bliver glemt
Forklaringen er organisatorisk, ikke juridisk.
NIS2-projektet lander hos CISO'en, IT-chefen eller en compliancefunktion. Den fysiske sikkerhed hører under facility management, ejendomsdrift, HR eller beredskab. De to sider har hver deres leverandører, hver deres budget og som regel hvert deres risikobillede — hvis den fysiske side overhovedet har et, der er skrevet ned.
En angriber bevæger sig ubesværet hen over den skillelinje. Netværkssegmentering på et diagram betyder ikke meget, hvis netværksstikket i mødelokalet er aktivt, og mødelokalet ligger før receptionen. Det er ikke en teknisk fejl. Det er to korrekte beslutninger, truffet af hver sin afdeling, som ingen har set sammen.
Fra praksis
Fem steder, hvor kravet og virkeligheden ikke mødes
Ingen af dem er eksotiske. Det er de samme fem, vi finder igen og igen — i organisationer med både politik, budget og gode intentioner.
-
Teknik- og serverrum
Døren er låst. Nøglen ligger i en ulåst skuffe i receptionen, koden står på whiteboardet, eller dørpumpen er skruet af, fordi rummet blev for varmt. Låsen er ikke problemet. Driften omkring den er.
-
Adgangskort i praksis
Politikken beskriver udstedelse og inddragelse. Virkeligheden er kort, der aldrig blev spærret efter en fratrædelse, leverandørkort uden udløbsdato og et ukendt antal kort i omløb. Kør en optælling — den plejer at være ubehagelig, og den er gratis.
-
Leverandøradgang
Forsyningskædesikkerhed bliver næsten altid læst som softwareleverandører. Men rengøring, serviceteknikere, kantine, vagt og håndværkere har fysisk adgang — ofte uden for arbejdstid, ofte med generelle nøgler, ofte uden at nogen kan sige, hvem der mødte op i går.
-
Netværk i åbne zoner
Aktive stik i mødelokaler, kantiner og gangarealer. Gæstenet, der ikke er adskilt i praksis. Printere og skærme med adgang til mere, end nogen har tænkt over. Det er her, den cyber-fysiske grænse rent faktisk går.
-
Detektion og rapportering
Der er kameraer, og der er logning. Spørgsmålet er, om nogen ser efter — og om en medarbejder, der undrer sig, ved, hvem hun skal ringe til. Underretningsfristerne (første melding inden for 24 timer, egentlig underretning inden for 72) forudsætter, at hændelsen blev opdaget og meldt. Ellers begynder uret aldrig.
Hvordan en vurdering kan bruges i arbejdet
Lad os være præcise om, hvad vi ikke er: vi er ikke revisorer, vi udsteder ikke erklæringer, og vi er hverken certificerede eller akkrediterede til at godkende noget. Det, en assessment kan, er at levere det, kravet om at vurdere foranstaltningernes virkning beder om — dokumentation for, at nogen har afprøvet dem i virkeligheden.
Konkret er det, der plejer at kunne bruges direkte i et NIS2-forløb:
- Risikobilledet — fund fra virkeligheden i stedet for fra et skema, med fotodokumentation og en beskrivelse af, hvordan vi kom videre derfra.
- Adgangskontrol og aktivstyring — en gennemgang af, hvem der faktisk kan nå udstyret, og hvor det står.
- Forsyningskæde — en afprøvning af, om en leverandørrolle kan efterlignes godt nok til at komme ind.
- Detektion og reaktion — blev det opdaget, blev det eskaleret rigtigt, og hvor lang tid gik der?
- Baseline over tid — otte kategorier med en procentuel score, som næste måling kan holdes op imod. Det er den slags, der kan stå i en ledelsesrapport uden at blive oversat først.
- Ledelsesbriefing — ledelsens tilsynspligt er svær at opfylde ud fra et regneark. 45 minutter med billeder af egen bygning er noget andet.
Et forbehold, som hører med
Vi er ikke jurister. Om jeres organisation er omfattet, hvilken kategori I falder i, og hvordan kravene formelt skal opfyldes, hører hjemme hos jeres compliancefunktion eller advokat. Spørg dem — og lad være med at bruge en sikkerhedsleverandørs vurdering som juridisk grundlag. Heller ikke vores.
Vi kan svare på noget andet og mere konkret: holder foranstaltningerne, når nogen aktivt forsøger at omgå dem? Det er også det spørgsmål, en rigtig hændelse stiller — uanset hvad der står i politikken.
Er I i gang med NIS2 og kan ikke pege på nogen, der har ansvaret for den fysiske del, så er det formentlig der, det næste kvarter skal bruges. Og skal det derefter afprøves, er en Security Assessment den korteste vej til et samlet billede — 200+ kontrolpunkter, otte scorede kategorier og en trefaset handlingsplan, fra 47.500 DKK ekskl. moms.
Næste skridt
Test antagelserne.
Find vejen ind.
En kort samtale er nok til at afklare, om en Security Assessment eller en fuld penetrationstest passer bedst til jer. Den koster ikke noget og forpligter ikke.