NIS2: Styrk OT-sikkerheden i et nyt reguleringslandskab

Sådan påvirker NIS2 OT-miljøer

EU har opdateret sin lovgivning om netværks- og informationssikkerhed med NIS2-direktivet. Denne opdatering udvider både antallet af sektorer og organisationer, som direktivet gælder for, og indeholder samtidig en mere præcis afgrænsning af, hvem der er omfattet. Det betyder, at mange organisationer nu skal gentænke og opgradere deres eksisterende sikkerhedstiltag – både inden for IT og OT (Operational Technology) – for at leve op til de nye krav.

NIS2-direktivet blev offentliggjort den 27. december 2022 og fastlægger en juridisk ramme, som alle EU-lande skal implementere i national lovgivning senest den 17. oktober 2024. Hvert land skal selv fastsætte minimumskrav og præcisere, hvilke sektorer og tærskelværdier der gælder.

Eksperter forventer, at antallet af berørte organisationer vil stige markant – over 100.000 organisationer i Europa vurderes at blive omfattet af NIS2.

Fremover vil det være et lovkrav at opretholde et højt og løbende kvalitetsniveau for netværks- og informationssikkerhed i alle systemer, der understøtter kritiske tjenester – herunder IT, OT, indbyggede integrerede systemer, datacentre og lignende. Organisationer bør især fokusere på følgende områder:

• Retningslinjer og organisering: Etablering af en struktureret organisation, der fokuserer på informationssikkerhed.
• Risikostyring: Proaktiv identifikation, klassificering og vurdering af risici ud fra en standardiseret metode.
• Leverandørstyring: Håndtering af risici forbundet med eksterne ICT-leverandører og forsyningskæder.
• Tekniske tiltag: Fysisk sikring af alle miljøer, regelmæssige pentests, netværkssegmentering, udvidet adgangskontrol og overvågning.
• Organisatoriske tiltag: Effektiv hændelseshåndtering, løbende procesforbedring og regelmæssige sikkerhedsaudits.

Alle krav skal kunne dokumenteres over for de nationale tilsynsmyndigheder. Dette gælder ikke kun direkte berørte virksomheder og organisationer, men også deres leverandører og partnere. NIS2 stiller derfor krav om auditmekanismer og kontrol med eksterne tjenesteleverandører. Det er vigtigt allerede nu at vurdere, om man er direkte eller indirekte omfattet af direktivet.

Det er virksomhedsledelsen, der ifølge NIS2 har ansvaret for, at organisationen efterlever kravene. Overtrædelser kan føre til betydelige sanktioner – i stil med GDPR – herunder bøder og midlertidig fratagelse af ledelsesansvar.

Der forventes ikke at være forskel i kravene på tværs af teknologier – IT, OT og indbyggede integrerede systemer skal derfor alle leve op til de samme standarder og vil blive vurderet efter samme tilsynsprocedure.

Sådan implementeres NIS2 i OT-miljøer

OT-systemer er ofte komplekse, består af ældre teknologier og er præget af lav modenhed, når det gælder cybersikkerhed. Første skridt mod compliance er at få overblik over disse forhold og etablere en sikkerhedsarkitektur, der muliggør effektiv overvågning og reaktion.

Hos Orange Cyberdefense tilbyder vi målrettet støtte til at styrke cybersikkerheden i industrielle miljøer. Vores OT-sikkerhedsvurderinger hjælper jer med at identificere risici og fastlægge konkrete og operationelle forbedringstiltag – med fokus på både mennesker, processer og teknologi.

Læs mere om vores Industrial Security Assessments.

Strategisk netværksdesign og integration

NIS2 og øvrige sikkerhedsstandarder stiller høje krav til beskyttelsen af netværk og kritisk infrastruktur – i takt med øgede integration mellem IT og OT, 5G og mobile industrielle systemer. Vi hjælper med at implementere "defense-in-depth"-arkitektur, herunder segmentering mellem IT og OT samt micro-segmentering i OT-netværk.

Vi prioriterer også den menneskelige faktor og tilbyder awareness-træning, der klæder medarbejdere på til at genkende og reagere på trusler.

Vores Managed Firewall Service anvender en risikobaseret tilgang med hurtig trusselsdetektion, virtual patching og incident response. Samtidig leverer vores Managed Endpoint Security effektiv malwarebeskyttelse, policy styring og trusselsstyring.

Med løsninger som Secure Access Service Edge (SASE) og Zero Trust-arkitektur sikrer vi adgangsstyring til jeres netværk og systemer.

Læs mere om vores Industrial Cybersecurity.

Helhedsorienteret OT-sikkerhed med Orange Cyberdefense

For at beskytte OT-miljøer, opdage trusler og håndtere hændelser er det afgørende at have fuldt overblik over både IT- og OT-netværk. Mange organisationer mangler dog ressourcer og kompetencer til at omsætte tekniske data til meningsfuld og handlingsrettet indsigt.

Med Managed Industrial Security Services tilbyder vi netop dette overblik. Vi hjælper jer med at opbygge og vedligeholde en komplet asset-inventarliste, analysere sammenhænge og sårbarheder og omsætte det til konkrete anbefalinger. Ved at integrere trussels- og sårbarhedsdata skaber vi et solidt fundament for jeres OT-sikkerhedsprogram.

Læs mere om vores Managed Industrial Security – Identify og Managed Industrial Security – Detect på orangecyberdefense.com.

Konklusion

NIS2 markerer et stort skifte i EU’s tilgang til netværks- og informationssikkerhed og stiller markante øgede krav til sikkerhedsmodenhed – især i industrielle miljøer.

Mange organisationer har en stor udfordring, fordi de mangler både tid og den specialviden der er nødvendig, for at de selv kan håndtere at implementere de complianceprocesser og løsninger de nye skærpede krav stiller til dem. Derfor vælger flere at samarbejde med en erfaren partner som Orange Cyberdefense. Med vores ekspertise inden for cybersikkerhed og Managed Services hjælper vi jer med at opfylde NIS2-kravene og sikre jeres organisation – både nu og i fremtiden.

Hvis du har brug for rådgivning om, hvordan din virksomhed skal forholde sig til NIS2-direktivet eller DORA-forordningen, så tag kontakt til en af vores eksperter eller udfyld formularen herunder.