NIS2 sprint vs. storladent program: sådan laver du en ærlig gap-analyse på 14 dage

Her er den helt korte version, hvis du sidder mellem møder:

• Afgræns scope benhårdt: 3-5 kritiske tjenester, ikke hele virksomheden.
• Samle eksisterende materiale i en mappe, som det faktisk ser ud, ikke som I kunne ønske jer.
• Gennemfør 6-10 fokuserede interviews med IT, drift, forretning og ledelse.
• Brug et simpelt kontrolkatalog og score 0-3 per område for NIS2 gap analyse.
• Lav ét heatmap og en top-10 backlog, som direktionen kan tage stilling til på 30 minutter.

Resten af artiklen handler om, hvordan du konkret gør det på to uger uden at starte et flerårigt sikkerhedsprogram, du alligevel ikke har ressourcer til endnu.

Sprint eller program: hvad er pointen med en hurtig NIS2 gap-analyse?

Jeg har efterhånden set to typer reaktioner på NIS2 hos danske virksomheder.

Den ene gruppe parkerer det hos IT-chefen: “Kan du ikke lige tage et møde med vores leverandør og få et oplæg?”. Tre måneder senere ligger der en 60-sliders PowerPoint med farvekoder, ingen rigtig forstår.

Den anden gruppe panikker og begynder at tale om sikkerhedsprogram, SOC, ISO-implementering og nye systemer, før de overhovedet har styr på, hvad der er kritisk, og hvor hullerne er i dag.

Jeg synes, begge tilgange overser det samme: Du behøver et nøgternt billede af udgangspunktet, før du beslutter, hvor stort et program du reelt har brug for. Det er her en kort, fokuseret NIS2 gap-analyse giver mening.

Formålet med en 14-dages “minimum compliance” vurdering er ikke at gøre jer perfekte. Det er at kunne svare ærligt og konkret på tre spørgsmål:

• Hvor langt er vi fra et realistisk NIS2-niveau på de mest kritiske områder?
• Hvad er de 5-10 vigtigste huller, vi bør lukke først?
• Hvad kræver det i tid, penge og beslutninger fra ledelsen?

Det er i øvrigt præcis den type overblik, mange ledergrupper efterspørger, når de opdager, at NIS2 ikke “bare” er en opdateret IT-politik. Og hvis du allerede har været forbi artiklen om at komme i gang med NIS2 uden panik, er det her i praksis næste skridt.

Dag 1-2: Sæt rammen snævert nok til at blive færdig

Den største fejl i mange NIS2-projekter sker, før man overhovedet har åbnet Excel: man prøver at gøre alt på én gang. Det holder sjældent til virkeligheden.

Hvis du vil lave en NIS2 gap-analyse på to uger, skal du starte med at vælge, hvad der ikke er med.

Vælg 3-5 kritiske tjenester

Start med at definere de tjenester og systemer, der er forretningskritiske i NIS2-forstand. Ikke alt, hvad nogen synes er vigtigt, men det, der reelt vil skade forsyning, kunder eller samfund væsentligt, hvis det går ned eller kompromitteres.

Eksempler:

• En energivirksomhed: SCADA-system, kundesystem, afregningsplatform.
• En finansiel aktør: betalingsplatform, netbank, kernebank-system.
• En SaaS-leverandør til kritisk infrastruktur: driftmiljøet for jeres SaaS, identitets- og adgangsstyring, lognings- og overvågningsløsning.

Tre til fem tjenester er typisk nok til at afdække de vigtigste mønstre i jeres NIS2 modenhedsvurdering uden at drukne dig i detaljer.

Afgræns organisation og leverandører

Notér helt konkret:

• Hvilke forretningsområder er omfattet (forretningsenheder, lokationer)?
• Hvilke interne teams spiller en rolle (IT-drift, udvikling, support, risk/compliance)?
• Hvilke 5-10 nøgleleverandører er kritiske for de udvalgte tjenester?

Den liste bliver din styreliste for interviews og dataindsamling.

Hvis du er i tvivl om, om I er omfattet af NIS2, så brug Digitaliseringsstyrelsens materiale som pejlemærke. De har en overskuelig introduktion til, hvem der er omfattet, på deres NIS2-side, som er værd at have liggende i baggrunden af arbejdet.

Dag 2-3: Få data på bordet, som det ser ud i virkeligheden

Jeg plejer at sige det lidt firkantet: Den første version af en NIS2 gap-analyse bliver kun så god, som dit datagrundlag er ærligt.

Det hjælper ikke at finde sikkerhedspolitikken fra 2017 frem, der aldrig blev implementeret, og lade som om, den gælder.

Lav en “rå” dokumentmappe

Opret en fælles mappe og bed de relevante personer sende det, de rent faktisk bruger i dag. Ikke det, de ville ønske, de brugte.

Konkret kan du bede om:

• Seneste version af sikkerhedspolitik og relevante procedurer.
• Overblik over systemer og integrationer for de kritiske tjenester.
• Leverandøroversigt for hosting, drift, support, cloud, netværk.
• Eventuelle risikovurderinger, beredskabsplaner og øvelsesrapporter.
• Eksempler på hændelseslog eller ticket-system for sikkerhedshændelser.

Du skal ikke bruge uger på at rydde op. Formålet er at kunne teste, om praksis og papirer hænger bare nogenlunde sammen.

Træk 2-3 simple uddrag af data

For at gøre NIS2 modenhedsvurderingen mindre teoretisk, hjælper det med få, konkrete dataspor, fx:

• Uddrag af de seneste 3-6 måneders sikkerhedshændelser eller kritiske incidents.
• Et hurtigt overblik over brugere med udvidede rettigheder i de kritiske systemer.
• Seneste større driftsnedbrud: årsag, håndtering, læring.

Det er ikke en fuld log-analyse, men det gør det meget nemmere at vurdere, om jeres kontroller i praksis opdager og håndterer problemer.

Dag 3-6: Interview, ikke afhøring

En god NIS2 gap-analyse handler lige så meget om kultur og praksis som om tekniske kontroller. Det får du kun øje på, hvis du taler med folk.

Jeg har haft god erfaring med at planlægge interviewene som korte, fokuserede samtaler på 45-60 minutter, hvor formålet er at forstå “hvordan gør vi faktisk”.

Hvem bør du tale med?

Til en 14-dages sprint giver det mening at prioritere:

• IT-drift / infrastruktur (1-2 personer).
• Udvikling / produkt (1-2 personer, hvis relevant).
• En leder med ansvar for forretningskritiske tjenester.
• En person med ansvar for risk/compliance, hvis I har sådan en.
• En repræsentant for topledelsen, gerne CFO eller COO.

Det lyder banalt, men et kort møde med en repræsentant for direktionen kan afsløre meget hurtigt, hvor modenheden er på governance-delen. Og governance er et af de steder, hvor NIS2 stiller tydelige krav til bestyrelser og ejere.

En simpel interviewguide, der virker

Jeg ville strukturere interviewene omkring fire spor:

1. Styring og ansvar
   Hvem træffer beslutninger om risici, investeringer og undtagelser? Hvordan rapporteres sikkerhed til ledelse og bestyrelse?
2. Forebyggelse
   Hvordan arbejder I med adgangsstyring, sårbarheder, patching, leverandørstyring, træning af medarbejdere?
3. Overvågning og detektion
   Hvordan opdager I sikkerhedshændelser? Hvad sker der, når nogen ringer til support og tror, de er blevet kompromitteret?
4. Respons og læring
   Hvordan håndterer I hændelser? Bliver der fulgt op, dokumenteret, ændret praksis?

Du behøver ikke nævne hvert enkelt NIS2 sikkerhedskrav i interviewet. Brug i stedet de fire spor til at få den ærlige historie, og map bagefter svarene op mod et kontrolkatalog.

Kontrolkatalog: 12 områder du kan score 0-3 uden at drukne

Hvis du vil undgå, at din NIS2 gap-analyse bliver ren mavefornemmelse, skal du have en simpel scoringsmodel. Ikke noget avanceret, bare konsistent.

Jeg plejer at bruge 0-3 skalaen:

• 0: Ingen reel praksis eller kun meget ad hoc.
• 1: Noget på plads, men fragmenteret, uformelt eller personafhængigt.
• 2: Dokumenteret og gennemført i stort omfang, men med huller.
• 3: Veldefineret, implementeret, overvåget og løbende forbedret.

Og så et kontrolkatalog med 10-12 overordnede områder, fx:

1. Styring og ledelsesansvar for sikkerhed (inkl. bestyrelsens rolle).
2. Risikostyring og dokumenteret risikobillede.
3. Politikker og retningslinjer for informationssikkerhed.
4. Identitets- og adgangsstyring (inkl. MFA, princip om mindst privilegium).
5. Patch management og sårbarhedshåndtering.
6. Sikker udvikling og ændringshåndtering.
7. Drift, backup og genopretning (beredskab).
8. Overvågning, logning og hændelsesdetektion.
9. Hændelseshåndtering og rapportering (inkl. NIS2 underretningspligt).
10. Leverandørstyring og kontraktpraksis på IT-området.
11. Træning og awareness for medarbejdere.
12. Kontinuitet og øvelser (tabletop, tekniske tests, osv.).

Du kan fint have flere underkontroller under hvert område, men til en 14-dages analyse vil jeg anbefale at holde det på overskriftsniveau. Du kan altid dykke dybere senere.

Sådan scorer du uden at falde i “paper compliance” fælden

Det svære ved en modenhedsvurdering er ikke at udfylde skemaet. Det svære er at være ærlig.

Hvis du vil undgå “paper compliance”, hvor man får en flot score på papiret og store overraskelser i praksis, kan du bruge tre simple kontrolspørgsmål for hvert område:

• Findes der noget dokumenteret, som er godkendt af nogen med ansvar?
• Kan mindst to forskellige personer uafhængigt beskrive, hvordan I gør i praksis?
• Kan du se konkrete spor i data eller systemer på, at det faktisk sker?

Hvis to af de tre er nej, er scoren sjældent over 1.

Eksempel: I siger, at I har en beredskabsplan.

• Dokument: Ja, den ligger på intranettet.
• Praksis: IT-drift og forretning beskriver to vidt forskellige måder at håndtere nedbrud på.
• Data: Der er ingen log over øvelser, og ingen kan huske, hvornår den sidst blev testet.

Det føles rart at kalde det en 2’er, men objektivt er det en 1’er. NIS2 handler netop om, at det skal virke, ikke bare stå i et dokument.

Dag 6-9: Byg dit heatmap og gør huller synlige

Når du har scoret de 12 kontrolområder for de udvalgte tjenester, kan du samle det i et enkelt heatmap. Ikke noget fancy, bare et simpelt farveskema, som kan printes på én side.

Strukturen kan fx være:

• Rækker: De 12 kontrolområder.
• Kolonner: De 3-5 kritiske tjenester.
• Farver: Rød (0-1), gul (2), grøn (3).

Det, du leder efter, er mønstre:

• Områder, der er røde eller gule på tværs af alle tjenester.
• Specifikke tjenester, der skiller sig ud som svagere end resten.
• Kontrolområder, hvor governance-delen halter, selvom teknikken ser ok ud.

Jeg har oplevet, at et sådant heatmap kan forklare mere på 5 minutter til en CFO, end 40 sider tekst kan på en hel time. Det er også en god bro til at få sikkerhed på dagsordenen i forretningsstrategi og ledelse, i stedet for at det bliver set som ren teknik.

Dag 9-11: Lav en top-10 backlog med effort/impact

Når hullerne er synlige, er næste skridt at oversætte dem til en prioriteret opgaveliste. Ikke en ønskeliste, men en backlog, der tager hensyn til både effekt og ressourcer.

Fra kontrolområde til konkrete gaps

Tag de 4-6 kontrolområder med lavest score, og skriv 1-3 konkrete gaps for hvert, fx:

• “Ingen formaliseret proces for vurdering og godkendelse af sikkerhedsrisici ved nye projekter.”
• “Ingen central registrering af privilegerede brugere i de kritiske systemer.”
• “Mangler aftalte krav til logning og hændelsesrapportering i kontrakter med hosting-leverandører.”

Forsøg at lande på maksimalt 10 gaps i alt. Det tvinger jer til at vælge.

Brug en simpel effort/impact vurdering

For hvert gap vurderer du:

• Impact: Hvor meget reducerer det jeres NIS2-risiko, hvis vi løser det? Skala 1-5.
• Effort: Hvor svært er det at gennemføre? Skala 1-5, hvor 5 er “kræver år og store investeringer”.

Placer hvert gap i en 2×2 matrix:

• Høj impact / lav effort: Hurtige gevinster, bør øverst på listen.
• Høj impact / høj effort: Strategiske indsatser, kræver ledelsesbeslutning.
• Lav impact / lav effort: Kan laves, hvis ressourcerne er der.
• Lav impact / høj effort: Ofte noget, der kan vente eller helt droppes.

Det lyder næsten for simpelt, men netop enkelheden gør det til et godt værktøj for bestyrelser og ejere, som ofte efterspørger en klar beslutningsskabelon at lægge deres ansvar ned i.

Dag 11-13: Tal om risikobeslutninger, ikke kun opgaver

En fejl, jeg ser igen og igen, er, at man efter en NIS2 gap-analyse kun præsenterer en liste af opgaver. NIS2 skærper tydeligt ledelsens ansvar, så du er nødt til også at tydeliggøre de bagvedliggende risikobeslutninger.

For hvert af de 10 gaps kan du formulere et forslag til risikohåndtering i en af tre kategorier:

• Acceptere: Vi lever med risikoen (midlertidigt), og den beslutning dokumenteres.
• Reducere: Vi gennemfører en eller flere konkrete handlinger for at sænke risikoen.
• Overføre: Vi placerer dele af risikoen hos leverandører eller via forsikring, understøttet af kontrakter.

Det vigtige er ikke, at du tager beslutningen alene, men at du gør det let for direktion og bestyrelse at tage den. Det er netop her, NIS2 kravene rammer governance-siden, som man også ser behandlet i vores kategori om organisering og governance.

Dag 13-14: Lav en 90-dages plan, der kan gennemføres

Hvis alt, der kommer ud af din NIS2 gap-analyse, er en flot rapport, har du spildt en god mulighed. Der skal en kort, realistisk plan på bordet.

Fra backlog til første bølge

Tag de 3-5 højeste prioriterede gaps (typisk dem med høj impact og lav/medium effort) og lav en konkret 90-dages plan:

• Én ansvarlig person per initiativ.
• 2-5 konkrete milepæle per initiativ.
• Et overslag på tidsforbrug og evt. eksterne omkostninger.
• Et enkelt succeskriterium, som er til at måle på.

Eksempel: “Etablere central styring af privilegerede brugere” kan have milepæle som:

• Kortlægning af nuværende privilegerede konti.
• Beslutning om principper for tildeling og revurdering.
• Implementering af proces og teknisk løsning i de kritiske systemer.
• Første revurdering gennemført og dokumenteret.

Det behøver ikke være perfekt, men det skal være realistisk nok til, at nogen faktisk kan eksekvere på det ved siden af driften.

Governance light: Hvem holder øje?

Selv en 90-dages plan kræver et minimum af styring:

• Aftal et fast, kort statusmøde hver måned med de ansvarlige.
• Rapportér fremdrift til direktionen på et enkelt slide i ledelsesrapporteringen.
• Beslut på forhånd, hvornår I vil gentage NIS2 modenhedsvurderingen (fx årligt).

Det behøver ikke være et stort projektapparat. Men der skal være en tydelig ejer og en rytme, ellers smuldrer det mellem hverdagens andre opgaver.

Hvad du konkret står med efter 14 dage

Hvis du holder tempoet og afgrænsningen nogenlunde, burde du efter to uger have:

• Et afgrænset scope med 3-5 kritiske tjenester og de vigtigste leverandører.
• En enkel dokumentmappe, der afspejler den faktiske praksis.
• Interviewnoter, der giver et nuanceret billede af styrker og svagheder.
• Et NIS2 kontrolkatalog scoret 0-3 på 10-12 områder.
• Et visuelt heatmap, der viser mønstrene for modenhed.
• En prioriteret top-10 backlog med effort/impact vurdering.
• Forslag til risikobeslutninger for hvert større gap.
• En 90-dages plan for første bølge af forbedringer.

Det er langt fra hele NIS2-rejsen, men det er et realistisk, håndterbart første skridt, som både IT og forretning kan se sig selv i.

Tre praktiske erfaringer, jeg ville tage med mig, hvis jeg startede i morgen

Hvis jeg selv skulle starte en ny 14-dages NIS2 gap-analyse i morgen, ville jeg gøre tre ting meget bevidst:

1. Få en sponsor på plads fra dag 1.
   En direktør eller funktionschef, der bakker op, svarer på spørgsmål og kan rydde forhindringer af vejen. Uden det bliver det hurtigt et skrivebordsprojekt.
2. Acceptere, at analysen er 80 % løsning, ikke 100 %.
   Du har ikke tid til at dokumentere alt. Målet er at finde de store huller, ikke at lave en revisionsrapport.
3. Dokumentere beslutninger lige så grundigt som huller.
   Når ledelsen vælger at udskyde eller acceptere en risiko, så skriv det ned. Det er en del af deres ansvar under NIS2, og det gør samtalen mere ærlig næste gang.

Hvis du arbejder i eller med en virksomhed, der sandsynligvis rammes af NIS2, er en hurtig, ærlig gap-analyse måske den mest overskuelige måde at komme i gang på, uden at du lover mere, end organisationen kan holde. Og skulle du få lyst til at gå et spadestik dybere i selve sikkerhedsdisciplinerne, ligger der en del viden gemt under kategorien cyber og informationssikkerhed, som kan bruges som næste skridt.