Aktuell veileder
NIS2 og tilgangsstyring: Hva bør norske virksomheter forberede?
NIS2 skjerper forventningene til risikostyring. Slik bør virksomheter vurdere identitet, fysisk adgang og digitale rettigheter.
Dette er generell informasjon, ikke juridisk rådgivning. Plikter må vurderes mot gjeldende norsk regelverk.
Hva er NIS2?
NIS2 er EUs direktiv for et høyt felles sikkerhetsnivå. Det utvider virkeområdet fra NIS1 og skjerper forventningene til risikostyring, ledelsesforankring, leverandørkjeder og hendelsesrapportering. Norsk gjennomføring må følges særskilt.
Hvorfor er fysisk adgang relevant?
Uautorisert tilgang til tekniske rom, mistet telefon med aktive nøkler, tidligere ansatte med gyldige rettigheter og leverandørkontoer med for bred tilgang kan gi digitale konsekvenser.
Seks prioriterte tiltak
- Kartlegg verdier og lokasjoner. Knytt rom og installasjoner til systemer, data og ansvar.
- Etabler en tilgangsmodell. Definer hvem som bestiller, godkjenner og avslutter tilgang.
- Reduser permanente rettigheter. Tidsavgrens tilgang for leverandører og prosjektpersonell.
- Koble tilgang til identitet. Integrer med Entra ID, Active Directory eller HR-prosesser der det er hensiktsmessig.
- Logg og følg opp. Avklar hvilke hendelser som undersøkes og hvem som har ansvar.
- Test hendelser. Øv på mistet enhet, kompromittert administrator og bortfall av leverandørtjeneste.
Leverandørkjeden må med
Avklar hvem som drifter plattform, skytjenester, låsintegrasjoner og support. Be om dokumentasjon på hendelsesvarsling, sårbarhetshåndtering, dataflyt, eksport og exit.
Dokumentasjon som bør finnes
- System- og integrasjonsoversikt
- Risikoanalyse
- Rolle- og rettighetsmatrise
- Rutine for onboarding og offboarding
- Oversikt over administratorer
- Logg- og kontrollrutine
- Hendelses- og beredskapsplan
Konklusjon
NIS2 bør ikke behandles som et isolert IKT-prosjekt. Sikkerhet oppstår i samspillet mellom mennesker, lokasjoner, leverandører og digitale systemer. En samlet modell for identitet, adgang, logging og beredskap gjør virksomheten bedre rustet.
Ofte stilte spørsmål
Omfatter NIS2 alle norske virksomheter?
Nei. Virkeområdet må vurderes konkret.
Er et adgangssystem alene nok?
Nei. Adgangsstyring er ett av flere relevante risikotiltak.
Bør fysisk og digital adgang vurderes sammen?
Ja, når fysisk tilgang kan påvirke systemer, data eller tjenesteleveranse.