Tillsyn av efterlevnad av NIS2 och KSC: dokument, register och tester som måste bilda en sammanhängande beviskedja

Tillsyn av efterlevnad av NIS2 och KSC handlar inte bara om att visa upp policyer och rutiner. Tillsynsmyndigheten kan kontrollera om organisationen har fastställt rätt omfattning, fördelat ansvar, infört säkerhetsåtgärder och kan styrka att de fungerar genom aktuella register, testresultat och ledningsbeslut. Förberedelserna bör därför utgå från en sammanhängande beviskedja: från skyldighet och risk via vald kontroll till dokumenterat genomförande, effektivitetsbedömning och hantering av avvikelser.

Tillsynen granskar systemet – inte dokumentpärmen

Utgångspunkten är inte antalet policyer och rutiner, utan att organisationens skyldigheter har avgränsats korrekt. Organisationen ska kunna ange vilka tjänster, processer, informationssystem, platser och leverantörsberoenden som omfattas av KSC samt på vilka grunder denna bedömning har gjorts. Innan dokumentationen struktureras bör ledningen därför bekräfta verksamhetens status och omfattningen av de tjänster som tillhandahålls samt utse en person med ansvar för att samordna förberedelserna inför tillsynen.

Den största bevisrisken uppstår när dokumentationen beskriver lösningar som organisationen inte använder i praktiken eller inte kan styrka med dokumenterade uppgifter. Det gäller särskilt behörighetsgranskningar, riskbedömningar, säkerhetskopiering, leverantörsstyrning och kontinuitetstester. Underlaget bör bilda en spårbar kedja: krav eller risk, beslut, införd säkerhetsåtgärd, ansvar, dokumenterat genomförande, bedömning av åtgärdens effektivitet och hantering av konstaterade avvikelser.

Myndigheten kan börja med ett styrande dokument och därefter välja ett operativt stickprov. Om incidenthanteringsrutinen beskriver hur händelser ska klassificeras och eskaleras bör organisationen vara beredd på att visa ärenden, svarstider, fattade beslut, kommunikation, avslut och lärdomar efter incidenten. Systemets omfattning styrks inte enbart genom en beskrivning, utan även genom en karta över tjänster och beroenden, en tillgångsförteckning, utsedda ägare och överensstämmelse mellan dessa uppgifter och de operativa registren.

Dokumentation för NIS2 och KSC inför tillsyn: vilka policyer, register och bevis som faktiskt behövs bör återspegla en fungerande styrmodell, inte vara en katalog med mallar. Tillsyn från en myndighet måste samtidigt skiljas från en revision av ett ledningssystem. Båda aktiviteterna kan använda liknande revisionsbevis, men tillsynen bedömer om skyldigheter enligt tillämpliga regler och tillsynens omfattning har fullgjorts. En revision bedömer däremot ledningssystemets överensstämmelse och effektivitet mot fastställda kriterier. Ett positivt resultat från den ena aktiviteten ersätter inte den andra.

Omfattning och ansvar under granskning

Den första gruppen av bevis bör förklara varför organisationen omfattas av vissa skyldigheter och var gränserna går för den miljö som står under tillsyn. Myndigheten kan begära underlaget för verksamhetens klassificering, identifiering av de tjänster som omfattas samt en redovisning av tillhörande processer, informationstillgångar, system, platser och leverantörer. Omfattningen bör inte beskrivas enbart genom verksamhetens namn. Det måste gå att följa tjänsteleveransen från affärsprocessen via stödjande tillgångar till externa beroenden.

Grunden för förberedelserna är en aktuell och ledningsgodkänd beskrivning av omfattningen, kompletterad med en karta över tjänster och processer, en förteckning över kritiska tillgångar samt en tydlig ansvarsstruktur. Dokument som fastställer roller bör inte bara ange befattningar, utan också mandat att acceptera risker, aktivera beredskapsåtgärder, eskalera incidenter och fatta beslut som rör leverantörer. Ägare för tjänster, tillgångar och risker måste utses i enlighet med den faktiska ansvarsfördelningen.

En typisk bristande överensstämmelse uppstår när riskregistret anger en formell riskägare, medan beslutet om riskacceptans fattas av någon annan utan dokumenterat mandat. Samma problem kan förekomma vid undantag från säkerhetsåtgärder, kontinuitetsbeslut och godkännande av leverantörer. Mötesprotokoll, beslut, godkännanden av riskbedömningar, budgetbeslut och ledningens genomgångar bör visa att ledningen känner till väsentliga risker, avgör frågor som ligger utanför den operativa organisationens mandat och följer upp att fattade beslut genomförs.

Metoden för klassificering, registrering i relevant förteckning och myndighetens befogenheter måste i varje enskilt fall bedömas utifrån aktuell lagstiftning och verksamhetens situation. En praktisk fördjupning finns i NIS2: självbedömning och registrering i KSC-förteckningen – vad måste ett tillverkningsföretag göra? Om organisationen har status som väsentlig verksamhetsutövare bör bedömningen av omfattningen också kopplas till materialet Obligatorisk KSC-revision: vilka väsentliga verksamhetsutövare måste förbereda sig inför den första bedömningen av efterlevnad? Statusen i sig visar dock inte att ledningen har godkänt ansvarsgränserna och säkerställt att de ses över regelbundet.

Registren visar hur styrningen fungerar i praktiken

Ett register är bevis på löpande styrning endast om det återspeglar de beslut och aktiviteter som faktiskt utförs i processerna. Det får inte vara en bilaga till en rutin som uppdateras sporadiskt. Innan ett verktyg väljs bör organisationen fastställa obligatoriska fält, datakällor, informationsägare och regler för att godkänna ändringar. Ett kalkylblad kan vara tillräckligt om det ger åtkomstkontroll, ändringshistorik, entydigt ansvar och skydd mot obehöriga ändringar. Ett avancerat system skapar inte tillförlitliga data om det är oklart vem som uppdaterar registret, när det görs och vilken händelse uppdateringen bygger på.

Riskregistret bör koppla hotscenarier till tjänster och tillgångar samt ange riskägare, befintliga kontroller, bedömningsresultat, beslut om riskbehandling och status för åtgärder. Myndigheten kan kontrollera om en risk som ska reduceras har en tilldelad aktivitet, en tidsfrist och bevis på genomförande. För accepterade risker kan myndigheten kontrollera att beslutet har godkänts av en person med rätt mandat. Användbara ledningsmått är exempelvis antalet öppna risker, försenade åtgärder och beslut som väntar på omprövning. Detta är indikatorer som organisationen själv fastställer, inte lagstadgade tröskelvärden.

Incident- och händelseregistret bör göra det möjligt att återskapa hela förloppet: upptäckt, incidentklassificering, eskalering, beslut om rapportering, kommunikation, återställning av verksamheten och formellt avslut med dokumenterade lärdomar. Relaterat underlag omfattar register över sårbarheter, säkerhetsuppdateringar och godkända undantag, behörighetsgranskningar, säkerhetskopiering och återläsning, konfigurationsändringar, administratörsåtgärder, utbildningar och övningar.

En uppskjuten säkerhetsuppdatering bör kunna följas från den identifierade sårbarheten via konsekvensbedömning och undantagsbeslut till kompensatoriska kontroller, datum för omprövning och bekräftat avslut. En lista över försenade uppdateringar visar inte i sig om förseningen hanteras under kontrollerade former.

Samma spårbarhet krävs i styrningen av leveranskedjan. En avtalsförteckning ersätter inte leverantörsklassificering, bedömning av hur tjänster och tillgångar är beroende av externa parter, fastställda säkerhetskrav, dokumenterade granskningar eller beslut om brister som inte kan accepteras. Registret bör visa vem som godkände leverantören, vilka avvikelser som accepterades och när nästa bedömning ska genomföras. Särskilt viktigt är att följa leverantörer utan aktuell bedömning och öppna åtgärder efter genomförda granskningar. Frågan är relevant även vid genomförandet av programmet Införande av NIS2 efter registrering i KSC-förteckningen – handlingsplan till den 3 april 2027.

Regler för lagring, åtkomst och godkännande av ändringar bör anpassas efter typen av dokumenterad information, dess bevisvärde, rättsliga och avtalsmässiga krav samt behov vid incidentanalys. Organisationen bör inte fastställa en gemensam lagringstid för alla register utan en sådan analys. Tidsfrister för incidentrapportering och metoder för bevissäkring måste alltid verifieras mot gällande regler och vägledning från behörig myndighet. Ett bredare underlag beskrivs i Dokumentation för NIS2 och KSC inför tillsyn: vilka policyer, register och bevis som faktiskt behövs. Den operativa mognaden avgörs dock av de uppgifter som skapas i det dagliga arbetet och av den synliga kedjan från fastställt krav till kontrollresultat och korrigerande åtgärd.

Varje test måste leda till ett beslut

Tillsynsmyndigheten kan fråga efter mer än kontinuitetsplanen, incidenthanteringsrutinen eller bekräftelsen på att säkerhetskopiering utförs. Det är också viktigt att kunna visa att lösningarna har prövats under förhållanden som motsvarar faktiska tjänster, tekniker och leverantörsberoenden. Testprogrammet bör baseras på riskbedömningen, tjänstens kritikalitet, förändringar i miljön samt rättsliga och avtalsmässiga krav. Det finns ingen enda korrekt testfrekvens för alla kontroller. Områden med stor konsekvens, snabb förändring eller tidigare väsentliga avvikelser bör provas oftare.

Före varje test ska dess föremål och godkännandekriterier fastställas. Dokumentationen bör omfatta omfattning, scenario, deltagare, miljö, kriterier för godkänt resultat och tillåtna toleranser samt efter genomförandet resultat, avvikelser och faktisk eller potentiell påverkan på tjänsten. Vid brister bör bevisunderlaget ange korrigerande åtgärder, ansvariga personer, tidsfrister och datum för förnyad verifiering.

Användbara mått är faktisk återställningstid, uppnådd återställningspunkt, eskaleringstid och andelen åtgärder som har stängts efter testet. Ett av de allvarligaste organisatoriska felen är att genomföra återkommande tester utan godkännandekriterier eller utan att stänga de avvikelser som identifieras.

Centrala tester omfattar återläsning av säkerhetskopierade data, växling till reservlösningar, incidentövningar, test av kriskommunikation, behörighetsgranskningar, återställning av konfigurationer och tekniska sårbarhetskontroller, däribland skanning och – när riskbilden motiverar det – penetrationstestning. En leverantörs testresultat kan ingå i bevisningen, men ersätter inte organisationens egen prövning om det inte omfattar organisationens processer, integrationer, ansvar och operativa förutsättningar.

Efter varje test bör tjänsteägaren fatta ett dokumenterat beslut: godkänna resultatet, genomföra en korrigering, införa en kompensatorisk kontroll, upprepa testet eller acceptera risken inom ramen för sitt mandat.

En lyckad säkerhetskopiering av en databas bevisar inte att tjänsten kan återställas. Under ett test kan det visa sig att applikationen kräver en odokumenterad konfigurationsversion, att identitetslösningen inte fungerar i reservmiljön, att nycklar inte är tillgängliga eller att den enda personen som känner till komponenternas startordning inte deltar i återställningen. Först när hela beroendekedjan prövas går det att jämföra faktisk återställningstid och återställningspunkt med fastställda kriterier, bedöma påverkan på tjänsten och besluta om beredskapen är tillräcklig eller behöver förbättras.

Denna metod för att dokumentera tester är relevant oavsett bransch, även vid analys av NIS2 för tillverkningsföretag: vilka omfattas, vilka skyldigheter införs och hur organisationen kan förberedas utan att frågan reduceras till IT. Förväntat bevisunderlag måste bedömas utifrån de skyldigheter som gäller för organisationen, dess tjänster och aktuell rättslig situation. Den centrala kedjan är densamma: identifierad risk, planerat test, mätbart kriterium, dokumenterat resultat, tjänsteägarens beslut och verifiering av att åtgärderna har slutförts med avsedd effekt.

Bristande överensstämmelse ökar kostnaden för tillsynen

Formellt komplett dokumentation förlorar sitt värde när den inte motsvarar verkligheten. Myndigheten kan jämföra påståenden i policyer med systemkonfigurationer, ärendehistorik, avtal, behörighetslistor, skanningsresultat, testprotokoll och processägarnas förklaringar. Det handlar inte om redaktionell enhetlighet, utan om att kunna följa ett beslut från identifierad skyldighet och risk till införd säkerhetsåtgärd, dokumenterat genomförande och hantering av avvikelser.

En intern tillsynssimulering bör bygga på ett ändamålsenligt urval av tjänster, incidenter, leverantörer och behörigheter. Därefter följs spåret från styrande dokument till källdata. På så sätt kan organisationen identifiera inaktuella tillgångsförteckningar, olika benämningar på samma tjänst i flera dokument, risker utan ägare, incidenter som saknas i registret, leverantörer utan dokumenterad bedömning och korrigerande åtgärder som stängts utan effektivitetskontroll. Avvikelser ska hanteras genom att fastställa faktiska förhållanden och vem som äger informationen, inte genom att tillfälligt harmonisera dokumenten.

I ett tillverkningsföretag bör granskningen inte stanna vid den administrativa IT-miljön. För en utvald tjänst kan den omfatta underhåll, automation, fjärråtkomst för service, konfigurationsstyrning och beroenden mellan produktionssystem. En behörighetsförteckning kan exempelvis sakna ett konto som används av en servicetekniker, trots att avtal, anslutningslogg och enhetskonfiguration visar att kontot finns. Betydelsen av dessa beroenden behandlas mer utförligt i NIS2 för tillverkningsföretag: vilka omfattas, vilka skyldigheter införs och hur organisationen kan förberedas utan att frågan reduceras till IT.

Ett certifierat ledningssystem kan skapa struktur för riskhantering, dokumentstyrning, revisioner och korrigerande åtgärder. Certifikatet ersätter däremot inte analysen av den rättsliga omfattningen eller bevis på att skyldigheterna enligt KSC har fullgjorts. Denna gräns behandlas i NIS2 och SS-EN ISO 27001: vad certifikatet ger – och vad som fortfarande krävs för efterlevnad av KSC. Att en enskild dokumenterad uppgift saknas innebär inte automatiskt bristande efterlevnad, men organisationen måste bedöma uppgiftens bevisvärde, orsaken till luckan och om kontrollens funktion kan styrkas genom andra tillförlitliga uppgifter.

Kostnaden för tillsynen ökar främst när bevisen är utspridda, mandaten oklara och ingen samordnar svaren eller godkänner materialet innan det lämnas ut. Teamen tvingas då manuellt stämma av motstridiga uppgifter medan tillsynen pågår. Genom att i förväg utse en samordnare, ägare för respektive bevis och regler för att lösa avvikelser kan organisationen minska arbetsinsatsen och risken för att lämna motstridiga förklaringar till myndigheten.

Beredskap byggs genom en intern tillsynssimulering

Den interna simuleringen bör börja med att verksamhetens status, de berörda tjänsternas omfattning samt ledningens och processägarnas ansvar bekräftas. Därefter bör samordnaren för kontakten med myndigheten ta fram en efterlevnadsmatris som kopplar varje skyldighet till en ägare och tillhörande bevis. Först därefter granskas stickprov, intervjuer genomförs med ansvariga personer och förloppet för en utvald incident eller ett test återskapas. Rollen som samordnare bör ges till en person som har tillgång till ledningen och mandat att hantera motstridiga uppgifter, utan att ta över sakägarnas ansvar för bevisen.

Varje ansvarig för en skyldighet bör kunna ange:

• det styrande dokument som fastställer arbetssättet,
• den dokumenterade uppgift som styrker genomförandet,
• måttet på kontrollens effektivitet,
• det senaste beslutet som fattades efter uppföljningen.

Om någon av dessa delar saknas finns ett avbrott i beviskedjan. En incidenthanteringsrutin är inte tillräcklig om organisationen inte kan visa incidentregistreringen, svarstiden, konsekvensbedömningen, resultatet av orsaksanalysen och beslutet om förändrade säkerhetsåtgärder. Rekonstruktionen av ett konkret fall visar också om medarbetarnas förklaringar stämmer överens med dokumentationen och det faktiska händelseförloppet.

Simuleringen bör även omfatta tillsynens logistik: mottagning och registrering av begäran, fastställande av tidsfrist och svarsägare, godkännande av material, skydd av känslig information, versionsmärkning av överlämnade dokument och dokumentation av överenskommelser med myndigheten. Det är värdefullt att öva på en situation där den efterfrågade dokumentationen innehåller uppgifter utanför tillsynens föremål eller kräver en förklaring av sammanhanget. Då kan organisationen klargöra vem som beslutar om utlämnandets omfattning och hur spårbarheten för överlämnat material ska upprätthållas.

Åtgärdsplanen bör prioritera brister utifrån påverkan på tjänsten, rättslig exponering, sannolikheten att bristen upptäcks och den tid som krävs för att få fram tillförlitliga bevis på effekt. Prioriteringen bör inte styras av hur lätt det är att skriva ännu en rutin. Ledningen godkänner prioriteringar, resurser och acceptabel risknivå. En åtgärd får stängas först efter att kontrollen har verifierats på nytt.

Tidsplanen måste utgå från verksamhetens faktiska status, korrespondensen med myndigheten och gällande regler. När statusen har fastställts kan analysen kompletteras med NIS2: självbedömning och registrering i KSC-förteckningen – vad måste ett tillverkningsföretag göra? samt Införande av NIS2 efter registrering i KSC-förteckningen – handlingsplan till den 3 april 2027. Datum och skyldigheter som anges i dessa material måste alltid bekräftas mot aktuell lagstiftning.