Hvad Er NIS2 direktivet, Og Hvordan Vil Det Påvirke Din Organisation?

NIS2 (Network and Information Security) -direktivet er EU’s seneste politik, der har til formål at forbedre medlemslandenes kollektive IT-sikkerhed. Den er egentlig klar, men i Danmark venter vi stadig på implementeringen. Det forventes at være den 1. juli 2025. NIS2-direktivet vil sikre, at alle organisationer, der tjener en væsentlig funktion i samfundet, har et højt IT-sikkerhedsniveau.

I dette indlæg giver vi en opsummering af NIS2 direktivet. Vi diskuterer også, hvad NIS2 er for en størrelse, hvilke slags organisationer det gælder for, samt de nye sikkerhedskrav som organisationerne skal opfylde, og hvordan det vil blive håndhævet. Vi giver dig også fire trin til at hjælpe dig i gang med dit NIS2-arbejde. Her er, hvad det hele handler om, om det gælder for din organisation, og hvad du bør gøre, hvis det gør. 

Indholdsfortegnelse

• Opdateringer fra regeringen og væsentlige aktører
• Hvad er NIS2?
• Hvorfor NIS2 blev udviklet
• Omfatter NIS2 din organisation?
• Enheder af særlig kritisk betydning i NIS2 direktivet
• Andre kritiske enheder der er omfattet af NIS2-direktivet
• Væsentlige og Vigtige enheder ifølge NIS2
• Hvad hvis min organisation ikke er lokaliseret i EU?
• Hvad hvis NIS2 direktivet ikke gælder for mig?
• NIS2 direktivet har tre overordnede mål
• Der er 4 områder med nye krav i NIS2-direktivet
• NIS2 krav
  • IT-sikkerhed: De 10 minimums sikkerhedsforanstaltninger krævet af NIS2 
  • Nye rapporteringskrav 
  • Højere sanktioner for NIS2 overtrædelser og øget overvågning 
• Så hvad betyder NIS2 for din organisation?
• Vores anbefalinger til din organisation
• Awareness-træning I NIS2 direktivet
• Cyberhygiejne I NIS2 direktivet  

Inden vi springer ud i selve blogpostet, så kommer her lidt opdateringer fra året om, hvorhenne vi er den dag i dag.

Opdatering februar 2025

Folketinget er nu kommet med nye og flere informationer om NIS2. Men, det bliver ikke ultra konkret endnu, så vi må stadig være tålmodige. 

Her er dog, hvad der er nyt.

Hvornår bliver NIS2 implementeret og hvem er indbefattet?

Folketinget forventer NIS2 implementering i juli 2025.

Mange har spurgt om, hvem der er indbefattet af NIS2. Nu ved vi, at universiteter og regioner er indenfor scopet. Nogle kommuner er også, men tilsyneladene ikke alle. Hvis kommuner agerer som "sundhedsudbyder", leverer offentlige elektroniske netværk eller services eller er mere end 50 medarbejdere, så er de indbefattet. Det må altså være langt de fleste kommuner og kun de allermindste, der ikke er.

Hvert enkelt ministerie kommer med konkret guidance og krav

Det bliver op til hver ministerie at lave konkrete råd og krav, når det kommer til NIS2. F.eks. vil finansministeriet inkorporere NIS2 og DORA i deres lovgivning. 

Vil du gerne have en lidt mere generel tilgang, kan du kigge mod EU, som har udgivet et bud på risikohåndtering og rapportering for digital infrastruktur, udbydere og ICT managers.

I Danmark bliver Center for Cybersikkerhed ansvarlig for at koordinere og holde øje med implementeringen af NIS2 i samarbejde med de forskellige ministerier i de berørte sektorere.

Personlige straf er sidste udvej

NIS2 åbner op for, at ledelsen kan blive supsenderet og få straf, hvis kravene ikke blive underholdt. Det nye udlæg fra Folketinget understreger, at dette kun bliver brugt som sidste udvej, og at en suspendering bliver ophævet, når virksomheden har gjort de nødvendige tiltag.

Lidt generelle kommentarer fra opdateringen

Folketinget anbefaler, at den risikobaserede tilgang er en "All-hazard-approach", hvilket betyder, at det skal inkludere alle type trusler f.eks. ogsåfysiske trusler (oversvømmelse, brand). De anbefaler også at inkludere risk-management measures i kontrakter med direkte udbydere.

Folketinger ligger også fokus på generel IT-sikkerheds awareness, hygiejne og færdigheder for alle i ens organisationer (host, awareness-træning), og at selv SME'er bør kigge imod NIS2, selvom de ikke er direkte involverede.

Og hvad er god hygiejne. Det er alt det, vi råber højt om:

• Hav styr på politikker og retningslinjer
• Software og hardware opdateringer
• Lange stærke passwords og multi-faktor
• Backup
• Etc., etc.,

Opdatering februar 2025: NIS2-regler bliver forsinket

Implementeringen af NIS2 skulle træde i kraft d. 17 oktober 2024. Men regeringen har meldt ud, at den danske implementering bliver forsinket. Det var meningen, at regeringen skulle mødes i første kvartal, men det er blevet udskudt til oktober. Dermed når Danmark selvsagt ikke at blive klar til oktober. Det betyder også, at deadline for danske virksomheder og orgnisationer bliver udskudt (nu hedder det i sommeren 2025, men vi må vente og se) 

Der kommer måske seperate regler tidligere for nogle af de vigtigste sektorer som tele-, energi- og finanssektorerne. De er dog allerede meget regulerede og bør kunne leve op til reglerne, der kommer. 

Hvad er NIS2 direktivet?  

NIS2 direktivet er en ny EU-politik, som alle medlemslande og organisationer, der leverer tjenester indenfor EU, aktivt skal overholde senest d. 18. oktober 2024 (men som nu er forsinket). NIS2 direktivets formål er at beskytte organisationer imod IT-trusler, især for de organisationer, som håndterer samfundskritisk infrastruktur og funktioner. Grunden til at beskytte netop de organisationer er for, at højne den generelle IT-sikkerhed i hele EU.

For at nå dette mål fokuserer NIS2 på organisationer, som varetager væsentlige samfundsfunktioner. 

Disse organisationer er typisk nogen som samfundet er afhængigt af, for at kunne fungere optimalt. Det betyder, at enhver forstyrrelse af disse organisationer kan have stor og alvorlig indvirkning på f.eks. økonomiske aktiviteter eller folkesundheden i EU.

NIS2 indeholder altså skærpede krav for sikkerhed, nye og strengere rapporteringsindberetninger, samt strengere håndhævelseskrav for flere organisationer end det første NIS-direktiv. 

Kort sagt er det altså nye sikkerhedskrav til de virksomheder og organisationer, som vi er allermest afhængige af. 

Organisationer inkluderet i NIS2-direktivet omfatter virksomheder og organisationer, der leverer tjenester, som er afgørende for samfundsmæssige og økonomiske aktiviteter

Hvorfor NIS2 blev udviklet 

Vi ved godt, at du nok ikke kan vente med at dykke ned i alt det nye med NIS2.

Men inden det...

Så synes vi, at vi skal starte med lidt information om, hvorfor det nye direktiv er blevet udviklet. 

EU’s første IT-sikkerhedspolitik, NIS-direktivet, der trådte i kraft i 2016, trængte til en opdatering i kølvandet på nye IT-sikkerhedstrusler. Under COVID-19 pandemien oplevede verden en stigning i IT-angreb, hvilket fik Europa-Kommissionen til at foreslå et nyt og forbedret NIS2-direktiv.   

NIS2 vil udfylde hullerne i det oprindelige NIS-direktiv ved at udvide omfanget af kritiske tjenesteudbydere, styrke sikkerhedskravene i disse organisationer, adressere forsyningskædesikkerhed og øge rapporteringsforpligtelser og -håndhævelse.

I oktober 2024, vil NIS2 erstatte det originale NIS-direktiv med en mere omfattende politik for at styrke IT-sikkerheden og modstandskraften hos væsentlige tjenesteudbydere i EU. Målet er, at det vil forberede organisationer til at håndtere både nutidens og fremtidens cybertrusler. 

NIS2 vil erstatte NIS-direktivet. Det vil medføre, at flere organisationer skal overholde strengere krav til IT-sikkerhed.

Omfatter NIS2 din organisation?  

Det er det spørgsmål, som alle stiller. 

Det gør den, hvis du arbejder i en af de sektorer, som det oprindelige NIS omfattede, eller en af de sektorer som er blevet føjet til listen i det nye NIS2.  

Hvis du ikke er sikker, så bare rolig! Vi skal nok hjælpe dig med at finde ud af det i de næste sektioner. 

Det oprindelige NIS-direktiv omfattede organisationer i følgende sektorer:  

• Sundhed  
• Digital infrastruktur  
• Transport  
• Vandforsyning  
• Digitale tjenesteudbydere  
• Bank- og finansmarkedsinfrastruktur  
• Energi 

Det nye NIS2-direktiv omfatter hele 18 forskellige sektorer med undersektorer 

NIS2 bruger en masse forskellige udtryk og termer til at beskrive de sektorer, som det gælder for. Vi guider dig igennem hver af dem, en efter en.

Vi undlader alt den juridiske snak og fortæller dig kun, hvad du har brug for at vide. 

Lad os starte med at se på de 18 forskellige sektorer, som NIS2 er gældende for.

NIS2-direktivet opdeler sektorerne i to forskellige kategorier: Sektorer med høj kritikalitet, og andre kritiske sektorer. Vi skal nok vende tilbage til, hvorfor disse kategorier betyder noget senere, men indtil da skal du bare holde øje med om din organisation er inkluderet, og hvor.

Enheder af særlig kritisk betydning i NIS2 direktivet 

De følgende 11 sektorer omfattes og betragtes som yderst samfundskritiske i NIS2. For hver sektor har vi listet undersektorerne og hvad de inkluderer. Hvis du følger med i selve NIS2 direktivteksten, så står disse sektorer under Bilag 1. (Nederst i dokumentet). 

1. Energi

Elektricitet 

Inkluderer:

• Elektricitetsvirksomheder 
• Distributionssystemoperatører 
• Transmissionssystemoperatører 
• Producenter 

• Udvalgte elektricitetsmarkedsoperatører 
• Markedsdeltagere der leverer tjenester, der vedrører aggregering, fleksibelt elforbrug eller energilagring 
• Operatører af ladestationer, samt operatører der er ansvarlige for forvaltningen, samt driften af ladestationer, der leverer ladeydesler til slutbrugere. Dette inkluderer også tjenester udbudt på vegne af udbydere, via en mellemleverandør. 

Fjernvarme og fjernkøling 

Olie

• Olierørledningsoperatører 
• Operatører af olieproduktionsanlæg, -raffinaderier og -behandlingsanlæg, olielagre og olietransmission 
• Centrale lagerenheder 

Gas 

Inkluderer:

• Forsyningsvirksomheder 
• Distributionssystemoperatører 
• Transmissionssystemoperatører 
• Lagersystemoperatører 
• LNG-systemoperatører 

• Naturgasvirksomheder 
• Operatører af naturgasraffinaderier og -behandlingsanlæg 

Brint 

Inkluderer operatører inden for brintproduktion, -lagring og -transmission

2. Transport

Luft 

•  Luftfartsselskaber der anvendes til kommercielle formål 
• Lufthavnsdriftsorganer og enheder med tilknyttede anlæg i lufthavne 
• Trafikledelses- og kontroloperatører, der udøver flyvekontroltjenester  

Jernbane

Inkluderer: 

• Infrastrukturforvaltere 
• Jernbanevirksomheder, herunder operatører af servicefaciliteter 

Vand

Inkluderer:

• Rederier, som udfører passager- og godstransport ad indre vandveje, i højsøfarvand eller kystnært farvand, bortset fra de enkelte fartøjer, som drives af disse rederier 
• Driftsorganer i havne herunder deres havnefaciliteter, og enheder, der opererer anlæg og udstyr i havne 

• Operatører af skibstrafiktjenester 

Vej

Inkluderer:

• Vejmyndigheder, der er ansvarlige for trafikledelse, med undtagelse af offentlige enheder, for hvilke trafikledelse eller drift af intelligente transportsystemer er en ikkevæsentlig del af deres generelle aktivitet 
• Operatører af intelligente transportsystemer 
  
  

3. Bankvirksomheder

Inkluderer kreditinstitutter 

4. Finansielle markedsinfrastrukturer

• Operatører af markedspladser 
• Centrale modparter (CCP'er) 

5. Sundhed

Inkluderer:

• Sundhedstjenesteydere 
• EU-referencelaboratorier 
• Enheder, der udfører forsknings- og udviklingsaktiviteter vedrørende lægemidler 
• Enheder, der fremstiller farmaceutiske råvarer og farmaceutiske præparater, som omhandlet i hovedafdeling 
• Enheder, som fremstiller medicinsk udstyr, som den anser for at være kritisk i en folkesundhedsmæssig krisesituation 

6. Drikkevand

7. Spildevand

8. Digital infrastruktur

• Udbydere af internetudvekslingspunkter 
• DNS-tjenesteudbydere, bortset fra operatører af rodnavneservere 

• Topdomænenavneadministratorer 
• Udbydere af cloud-computing-tjenester 
• Udbydere af datacentertjenester 
• Udbydere af indholdsleveringsnetværk 
• Tillidstjenesteudbydere 

• Udbydere af offentlige elektroniske kommunikationsnet 
• Udbydere af offentligt tilgængelige elektroniske kommunikationstjenester 

9. Forvaltning af IKT-tjenester (business-to-business)

• Udbydere af administrerede tjenester 

• Udbydere af administrerede sikkerhedstjenester 
  
  

10. Offentlig forvaltning

• Offentlige forvaltningsenheder under central forvaltning
• Offentlige forvaltningsenheder på regionalt plan

• Medlemsstater kan anvende NIS2 på: (a) offentlige administrationsorganer på lokalt niveau; (b) uddannelsesinstitutioner, især når de udfører kritiske forskningsaktiviteter 
• Anvendes ikke på offentlige administrationsorganer, der udfører deres aktiviteter indenfor national sikkerhed, offentlig sikkerhed, forsvar eller retshåndhævelse, herunder forebyggelse, efterforskning, opdagelse og retsforfølgelse af kriminelle overtrædelser 

11. Rumnet 

Nu vil vi se på de andre kritiske sektorer, der er anført i NIS2. Hvis din organisation befinder sig i en sektor ovenfor, så bliver den ikke nævnt igen.

Andre kritiske enheder der er omfattet af NIS2-direktivet  

NIS2-direktivet definerer 7 andre kritiske sektorer og tilhørende enheder. Her er de nedenfor sammen med de forskellige undersektorer og beskrivelser af, hvad undersektorerne omfatter. For øvrigt hører disse til under Bilag 2. i NIS2-direktivt, hvis du gerne vil opfriske din juridiske jargon.  

1. Post- og kurertjenester

Inkluderer: postbefordrende virksomheder, herunder udbydere af kurertjenester.

2. Affaldshåndtering

Inkluderer: Virksomheder, der varetager affaldshåndtering, bortset fra virksomheder, for hvilke affaldshåndtering ikke er deres vigtigste økonomiske aktivitet.

3. Fremstilling, produktion og distribution af kemikalier

Inkluderer: Virksomheder, der beskæftiger sig med fremstilling af stoffer og distribution af stoffer eller blandinger, samt virksomheder der beskæftiger sig med produktion af artikler ud af stoffer eller blandinger.

4. Produktion, forarbejdning og distribution af fødevarer

Inkluderer: Fødevarevirksomheder der beskæftiger sig med engrosdistribution og industriel produktion og tilvirkning.

5. Fremstilling

Inkluderer:

• Fremstilling af medicinsk udstyr og medicinsk udstyr til in-vitro-diagnostik 
• Fremstilling af computere, elektroniske og optiske produkter  

• Fremstilling af elektrisk udstyr 
• Fremstilling af maskiner og udstyr i.a.n.  
• Fremstilling af motorkøretøjer, påhængsvogne og sættevogne 
• Fremstilling af andre transportmidler 

6. Digitale udbydere

• Udbydere af online markedspladser  
• Udbydere af onlinesøgemaskiner  
• Udbydere af platforme for sociale netværkstjenester 

7. Forskning

Inkluderer: Forskningsorganisationer – hvilket betyder en enhed, hvis primære mål er at udføre anvendt forskning eller udvikling med henblik på at udnytte resultaterne af denne forskning til kommercielle formål, men som ikke indbefatter uddannelsesinstitutioner. 

Så hvis din organisation befinder sig indenfor en af sektorerne nævnt ovenfor, uanset om den er i den særligt kritiske eller andre kritiske kategorier, så gælder NIS2 måske for dig 

Så hvad nu?

Fyld din kaffekop op og følg med, vi er slet ikke færdige endnu! 

Nu er det tid til at snakke om de to forskellige kategorier af organisationer indenfor NIS2-direktivet.

Væsentlige og Vigtige enheder ifølge NIS2 

Nu tilføjer vi endnu et lag af kategorier. NIS2 definerer to kategorier af enheder i omfanget: vigtige og væsentlige. 

Det er i alt fire forskellige kategorier... Men hvem tæller egentligt? 

Organisationerne i begge kategorier skal opfylde de samme sikkerhedskrav.  

Forskellen ligger i, hvordan vigtige og væsentlige organisationer bliver overvåget og straffet for manglende compliance.  

For at finde ud af, om din organisation anses som væsentlig eller vigtig, kommer for det meste an på størrelsen.

Vi giver dig detaljerne nu!

Væsentlige enheder 

• Organisationer i særligt kritiske sektorer (se ovenfor) med mere end 250 ansatte, en årlig omsætning på mere end €50 millioner eller balance større end €43 millioner
• Uanset størrelse: tillidstjenesteudbydere, topdomænenavneadministratorer og DNS-tjenesteudbydere
• Udbydere af offentlige elektroniske kommunikationsnetværk eller af offentligt tilgængelige elektroniske kommunikationstjenester med 50-250 ansatte eller mere end € 10 mio. i omsætning 
• Offentlige forvaltningsenheder 
• Enhver anden meget vigtig organisation, der er den eneste udbyder af tjenesten i landet eller, hvor afbrydelse af deres tjeneste, kan have en betydelig indvirkning 

Væsentlige organisationer kan overvåges proaktivt for at sikre, at de opfylder kravene i NIS2-direktivet. 

Vigtige enheder 

Vigtige enheder er egentlig bare dem der er tilbage, som ikke anses, som værende væsentlige.  

• Alle andre særligt kritiske, eller andre kritiske organisationer, der ikke passer til kvalifikationerne for væsentlige enheder. 

I praksis betyder det, at organisationer indenfor de sektorer, der er omfattet af NIS2-direktivet (ovenfor), som er mellemstore eller mindre (færre end 250 ansatte eller har en årlig omsætning på under €50 mio. eller en balance på under €43 mio.). 

Små (færre end 50 ansatte, omsætning på € 10 mio. eller mindre) og mikrovirksomheder (færre end 10 ansatte, omsætning på €2 mio. eller mindre) er ikke nødvendigvis udelukket fra at overholde NIS2. De lande de opererer i, kan inkludere dem, hvis deres tjenester spiller en central rolle i samfundet. 

Vigtige organisationer overvåges "efter kendsgerningen", hvilket betyder, at de kun vil blive undersøgt, hvis myndighederne modtager beviser for manglende overholdelse. 

Puha – den svære del er forbi nu. Tak for at du stadig hænger i!

Nu hvor vi har fået alle de komplicerede NIS2-detaljer af vejen, så det på tide til at dykke ned i, hvad NIS2 egentlig betyder for dig. 

Hvad hvis min organisation ikke er lokaliseret i EU? 

Ikke i EU, ikke dit problem? Du kan godt tro om. 

Selv, hvis din organisation ikke er lokaliseret i EU, men tilbyder tjenester indenfor EUs grænser, så skal du overholde NIS2 direktivet.

NIS2 giver os nogle regler om, hvordan ikke-EU-organisationer burde fortsætte.

Den siger, at ikke-EU-enheder der tilbyder tjenester indenfor EU skal udpege en EU-repræsentant indenfor et af de lande, hvor enhedens tjenester bliver udbudt. Repræsentanten er derfra ansvarlig for at styre organisationens compliance-arbejde ift. NIS2, såsom at rapportere sikkerhedshændelser.

Hvad hvis NIS2 direktivet ikke gælder for mig? 

Hvis det, efter at have læst gennem de forskellige sektorer og størrelsesbegrænsningerne ovenfor, ser ud til, at din organisation ikke er forpligtet til at overholde NIS2 - Så bare rolig.

Du skal ikke bekymre dig om nogle umiddelbare bøder, eller skridt du skal tage for at opnå compliance. 

Men du burde måske overveje at opbygge dit sikkerhedsarbejde, så det overholder direktivet alligevel. Det kan der altså godt være et par gode grunde til.  

• NIS2 opfordrer lande til at sikre, at selv de organisationer, der ikke er omfattet af direktivet, opnår et højt niveau af cybersikkerhed ved at implementere de samme risikostyringsforanstaltninger 
• Omfanget af organisationer NIS2 gælder for er bredt, og disse organisationer skal sørge for, at deres leverandører også er sikre. Så mange virksomheder vil ende med at skulle overholde NIS2-direktivet, fordi en virksomhed, de arbejder med, også gør det 

Helt grundlæggende ser det ud til, at risikostyringen og IT-sikkerhedsforanstaltningerne i NIS2 hurtigt vil den nye standard.

Ved proaktivt at tilpasse din sikkerhed til at inkludere de 10 minimumssikkerhedsforanstaltninger i NIS2, gør du det nemt for andre virksomheder at samarbejde med dig. Du kan også signalere til dine kunder, at du bruger sikker praksis, og at de derved kan stole på dig. 

Så nu hvor du har en idé om, hvorvidt NIS2 gælder for din organisation...

Lad os nu tale om alt, hvad organisationer skal gøre for at overholde direktivet.

Det vigtigste at vide er, at der er 10 sikkerhedskrav og tidslinjer for rapportering af sikkerhedshændelser.

Lad os dykke ned i det! 

NIS2 direktivet har tre overordnede mål  

NIS2's tre hovedmål er at øge IT-modstandsdygtigheden på tværs af væsentlige tjenesteudbydere, strømline modstandsdygtigheden gennem strengere sikkerhedskrav og sanktioner for overtrædelser og forbedre EU’s beredskab til at håndtere IT-angreb.

NIS2 håndterer dette med nye retningslinjer for ting, såsom sikkerhed og ansvarlighed 

Der er 4 områder med nye krav i NIS2-direktivet 

1. Risikostyring 

I hele NIS2-direktivet er styring af IT-sikkerhedsrisici et centralt tema. NIS2 siger, at organisationer bør bruge en tilgang der omfatter alle farer, så man bedre kan håndtere risici, der kan komme. Disse kan f.eks. være menneskelige fejl, systemfejl, ondsindede aktører, naturkatastrofer, samt systemernes fysiske og miljømæssige sikkerhed. 

2. Virksomhedens ansvar 

NIS2 holder ledere på C-niveau for ansvarlige på nye måder. Direktivet kræver, at ledelsen overvåger, godkender, bliver trænet i, og adresserer risici for deres organisationers cybersikkerhed. Hvis de undlader at gøre det, kan de blive holdt personligt ansvarlige gennem foranstaltninger, såsom suspension fra lederstillinger. 

3. Rapporteringsforpligtelser 

Det nye direktiv har detaljerede krav for rapportering af sikkerhedsbrud, hvilket vi diskuterer senere her i blogindlægget. Men for nu, så er det altså godt at vide, at organisationer skal have processer på plads for hurtigt at kunne rapportere sikkerhedsbrud. 

4. Forretnings kontinuitet 

Da NIS2 gælder for udbydere af essentielle tjenester, er det vigtigt, at disse organisationer har planer for at holde deres tjenester kørende, hvis de nu oplever en større sikkerhedshændelse. F.eks. bør planen omfatte ting som systemgendannelse, nødprocedurer og oprettelse af et kriseberedskabsteam.

Så, nu kommer vi til det sjove! - Hvad NIS2 faktisk kræver, og hvad der kan ske, hvis du ikke overholder kravene.

NIS2 krav 

NIS2-direktivet har krav til minimumssikkerhedsforanstaltninger, samt at organisationer skal have tidsplaner for rapportering af sikkerhedshændelser, og hvordan organisationer kan straffes, hvis de ikke overholder dette.

IT-sikkerhed: De 10 minimums sikkerhedsforanstaltninger krævet af NIS2 

NIS2 siger, at organisationer skal tage passende og forholdsmæssige risikostyringsforanstaltninger for, at forhindre sikkerhedshændelser og minimere deres effekt.

Det giver altså en liste på 10 basislinjeforanstaltninger, som alle organisationer skal forholde sig til.

Gør din tjekliste klar og se, hvor mange du allerede har styr på! 

1. Politikker for risikoanalyse og informationssystemsikkerhed
   
   
2. Hændelseshåndtering
   
   
3. Forretningskontinuitet, såsom backup-styring, katastrofe-gendannelse og krisestyring
   
   
4. Sikkerhed i forsyningskæden, herunder sikkerhedsrelaterede aspekter vedrørende forholdet mellem hver enhed og dens direkte leverandører eller tjenesteudbydere
   
   
5. Sikkerhed i forbindelse med anskaffelse, udvikling og vedligeholdelse af netværk og informationssystemer, herunder sårbarhedshåndtering og fortrolighed
   
   
6. Politikker og procedurer til at vurdere effektiviteten af risikostyringsforanstaltninger for cybersikkerhed
   
   
7. Grundlæggende cyberhygiejnepraksisser og IT-sikkerhedstræning
   
   
8. Politikker og procedurer vedrørende brugen af kryptografi, og hvor det er relevant, kryptering
   
   
9. Personalesikkerhed, adgangskontrolpolitikker og asset management
   
   
10. Brugen af multifaktorautentificering eller kontinuerlige autentificeringsløsninger, sikret stemme-, video- og tekstkommunikation og sikrede nødkommunikationssystemer indenfor enheden – hvor det er relevant 

NIS2-direktivets tekst lægger vægt på god cyberhygiejnepraksisser og awareness om cybersikkerhed.

Nogle elementer af cyberhygiejne nævnt i NIS2-direktivet er: software- og hardwareopdateringer, adgangskodeændringer, håndtering af nye installationer, adgangskontrol og onlineapplikationssikkerhed. 

Direktivet prioriterer også forsyningskædesikkerhed. Den siger, at virksomhederne skal skræddersy deres sikkerhedsforanstaltninger til enhver direkte leverandør og vurdere det overordnede sikkerhedsniveau for alle leverandører. 

Heldigvis er de fleste af disse krav ikke nye, og mange virksomheder arbejder forhåbentlig allerede med disse områder. Det går også hånd i hånd med GDPR-arbejde, fordi disse er gode skridt i retning af at beskytte data.