Derfor er DORA-forordningen ikke bare en “finanssektor-version” af NIS2
11 October 2023
Er jeres OT-sikkerhed NIS2-compliant?
For at forstå, hvorfor OT-sikkerhed er så vigtig, må man forstå den kritiske rolle Operationel Teknologi spiller – ikke bare i de enkelte virksomheder eller organisationer, men i hele vores samfund. OT-systemer spiller nemlig en langt vigtigere forretnings- og samfundskritisk rolle, end mange måske går rundt og tror - og nedetid kan have alvorlige konsekvenser. Derfor er det også nødvendigt, at vi gør alt, hvad vi kan for at beskytte vores kritiske OT-miljøer mod de aktuelle trusler og gøre dem så robuste, at de kan modstå den voksende bølge at OT-rettede cyberangreb.
OT-systemer er overalt
Operational Teknologi sættes ofte i forbindelse med de teknologier, der styrer produktion og andre industrielle processer – og navnet i sig selv peger da også i den retning. Men Operationel Teknologi dækker over meget mere end det. Faktisk findes OT-systemer i stort set alle typer brancher og organisationer i det moderne samfund.
OT-systemer er rygraden i nogle af de mest kritiske processer, vi overhovedet har og de findes overalt i vores kritiske infrastruktur. Når OT-systemer rammes af nedbrud, er det ikke bare en teknisk udfordring – det kan få store og vidtrækkende økonomiske, produktionsmæssige og samfundsmæssige konsekvenser.
Derfor er det afgørende, at OT-sikkerhed ikke blot betragtes som en teknisk udfordring, men løftes op på et strategisk niveau. For det er først, når indsatsen i forhold til OT-sikkerhed forankres i ledelsen, at man for alvor får skabt det nødvendige fokus og engagement på tværs af organisationen, der skal til for at øge sikkerheden i OT-miljøet.
OT-sikkerhed er ikke bare et teknisk anliggende – det er en strategisk nødvendighed. At beskytte de systemer, der driver vores kritiske infrastruktur, bør være en høj prioritet alle steder – også hos ledelsen, men det kræver både indsigt, prioritering og samarbejde på tværs af organisationen.
Mårten Toll-Söderblom, Managing Director, Orange Cyberdefense
Fra analyse til handling: Byg et strategisk OT-roadmap
Når I arbejder med at styrke sikkerheden i jeres OT-miljøer, er det vigtigt at, at I starter det rigtige sted. En succesfuld OT-sikkerhedsstrategi bygger altid på et klart og robust roadmap med både kortsigtede og langsigtede mål. Roadmappet bør tage udgangspunkt i – og forankres i forretningens strategiske målsætninger, hvor det beskriver en tydelig plan for, hvordan I håndterer væsentligste sårbarheder. Derudover skal det pege på de vigtigste konkrete tiltag, der skal til for, at I kan sikre et stærkt og modstandsdygtigt OT-miljø.
Det første skridt I bør tage for at sikre jeres OT-miljøer mod trusler og cyberanbreb er at vurdere det nuværende sikkerhedsniveau, identificere kritiske aktiver og etablere en solid ramme for risikostyring. Over tid bør roadmappet udvikle sig, så det følger udviklingen inden for nye teknologier, forretningsbehov og et skiftende trusselsbillede.
Hvorfor er det vigtigt at gribe OT-sikkerhed rigtigt an?
I forhold til OT-sikkerhed kan fejl og mangler i de indledende faser betyde, at I kommer til at skabe rum for sårbarheder, som er dyre og vanskelige at rette op på, på et senere tidspunkt. Derfor er det vigtigt, at I tænker sikkerhed ind i alle jeres OT-systemer fra start – og arbejder struktureret med at sikre jeres OT-miljøer. Hele formålet med det er, at:
- Få identificeret og prioriteret risici korrekt
- Undgå kostbare fejl
- Beskytte medarbejdernes sikkerhed
- Fastholde driftskontinuiteten
- Leve op til lovgivning og regulativer
- Skabe en stærk sikkerhedskultur
Hvad betyder det for dem, der skal træffe beslutningerne?
For beslutningstagere er forståelsen af OT-sikkerhed første skridt mod at skabe et robust og sikkert OT-miljø – f.eks. når det handler om produktions- og driftsmiljøet. Her er det vigtigt at forstå, at:
- OT-sikkerhed ikke er valgfrit – det er afgørende for både drift og risikostyring
- Samarbejde mellem IT- og OT-teams er en forudsætning for succes
- Fremtidssikret OT-sikkerhed kræver løbende investeringer i teknologi, træning og beredskab
Styrk OT-sikkerhed gennem compliance og ledelse
Integration af OT- og IT-systemer kan skabe stor forretningsmæssig værdi – men det åbner også for nye sikkerhedsrisici, som skal håndteres, fordi det påvirker hele OT-miljøet.
Med NIS2-direktivet bliver kravene til cybersikkerhed i OT-miljøer markant skærpet – især når det gælder governance, compliance, risikostyring, hændelseshåndtering og rapportering.
For mange organisationer betyder det, at de skal forholde sig til komplekse og ofte ældre OT-systemer, som oprindeligt ikke var designet til at modstå det aktuelle trusselsbillede. Det udfordrer sikkerheden i hele OT-miljøet, fordi de ikke matcher de nuværende cybersikkerhedsstandarder.
Selv med nye investeringer i teknologi og effektiviseringer forbliver den eksisterende infrastruktur ofte sårbar. Derfor er det nødvendigt, at der er en engegageret ledelse, som tager ansvar for at træffe de beslutninger, der kan styrke sikkerheden i hele OT-miljøet så det bliver NIS2-compliant - og det er vigtigt at flere årsager.
OT-sikkerhed, NIS2 og skærpet ledelsesansvar
Nu hvor EU’s NIS2-direktiv er blevet implementeret i dansk lovgivning, er topledelsen (direktioner og bestyrelser) i alle de virksomheder og organisationer, der er omfattet af NIS2, nemlig blevet direkte ansvarlige for, at de skærpede krav til governance, risikovurdering og compliance er opfyldt – og de kan stilles personligt til ansvar, hvis dokumentationen og rapporteringen af sikkerhedshændelser ikke lever op til kravene – også når det gælder OT-sikkerhed.
Sådan kommer I i gang med OT-sikkerhed
Hvis jeres organisation først lige er begyndt OT-sikkerhedsrejsen, er det vigtigste skridt at få et klart billede af det nuværende risikolandskab. For at komme hurtigt i gang, anbefaler vi, at I samarbejder med eksperter for at identificere potentielle sårbarheder og begynd implementeringen af de løsninger, der kan beskytte jeres OT-miljø.
Herudover anbefaler vi, at I får foretaget OT Security Assessments samt benytter jer af Ethical Hacking for at få indsigt i, hvor jeres OT-miljøer er sårbare. Samtidig er det vigtigt, at I investerer i de rigtige OT-sikkerhedsløsninger, f.eks. via Managed Security Services, som kan hjælpe med at accelerere processen, styrke sikkerheden i jeres OT-miljøer og opbygge en solid sikkerhedsstrategi, der både beskytter forretningen og sikrer compliance.
Takeaways:
- OT-sikkerhed er både forretnings- og samfundskritisk.
- OT-sikkerhed er ikke kun at teknisk anliggende – det skal løftes op på et strategisk ledelsesmæssigt niveau, for at få den rette fokus.
- Ældre OT-miljøer øger sårbarheden og kræver proaktive sikkerhedstiltag.
- En ledelsesdrevet OT-strategi reducerer antallet af hændelser og styrker robustheden
- Sammenkobling af IT og OT skaber forretningsmuligheder, men stiller nye krav til sikkerhed.
- NIS2 skærper kravene til OT-sikkerhed – især inden for governance, compliance, risikostyring, hændelseshåndtering og rapportering.
- Alle organisationer og virksomheder, der beskæftiger sig med kritisk og samfundsvigtig infrastruktur, skal leve op til NIS2-lovgivningen – og det er et ledelsesmæssigt ansvar.
