NIS2 internt eller med ekstern rådgiver? Sammenligning af omkostninger, tid og risiko

Valget mellem at gennemføre NIS2-arbejdet internt eller med en ekstern implementeringspartner handler ikke kun om at sammenligne rådgiverhonoraret med omkostningen til egne medarbejdere. Projektets resultat afhænger især af forpligtelsernes omfang, beslutningstagernes tilgængelighed, kvaliteten af data om processer og aktiver samt organisationens evne til efterfølgende at vedligeholde de valgte løsninger. Den tilsyneladende billigste model kan blive den dyreste, hvis den fører til en forkert vurdering af organisationens status, gentagne analyser eller dokumentation, som ikke afspejler virksomhedens faktiske praksis. Derfor bør organisationen først afklare omfang og mangler, derefter sammenligne de samlede omkostninger, tidsforbruget og risikoen ved tre gennemførelsesmodeller og først herefter vælge leverandør og arbejdsform.

Vælg ikke leverandør, før forpligtelserne er afklaret

En sammenligning mellem intern gennemførelse og støtte fra en ekstern virksomhed giver først mening, når det er afklaret, om organisationen er omfattet af forpligtelserne i NIS2 og de nationale regler, der gennemfører kravene. Hvis organisationen er omfattet, skal det fastlægges, hvilke tjenester, enheder, lokationer og aktiver vurderingen skal dække. Uden denne afgrænsning kan arbejdets omfang, tidsplan og omkostninger ikke estimeres på et forsvarligt grundlag. Ledelsen bør samtidig udpege en projektejer med mandat til at koordinere beslutninger på tværs af drift, jura og IT.

Udgangspunktet er ikke køb af dokumentationspakker eller IT-værktøjer, men en beskrivelse af forretningsmodellen. Organisationen skal identificere de leverede tjenester, de understøttende processer, systemer og data samt de leverandører og afhængigheder, der er afgørende for driftskontinuiteten. Først med dette overblik kan det afgøres, om vurderingen skal omfatte hele virksomheden eller alene bestemte tjenester og lokationer. Første fase bør resultere i en dokumenteret vurdering af organisationens status, klart definerede grænser for omfanget og en oversigt over områder, der kræver nærmere vurdering og korrigerende tiltag.

Det er vigtigt at skelne mellem formel retlig omfattelse og et forretningsmæssigt behov for større robusthed. En organisation kan ligge uden for de lovbestemte forpligtelser og alligevel være underlagt krav fra kunder, koncernen, forsikringsselskaber eller andre aktører i forsyningskæden. Et sådant projekt bør ikke fremstilles som opfyldelse af en lovpligt, men som et svar på konkrete kontraktkrav og operationelle risici.

Et eksempel er en produktionsvirksomhed, som har firewalls, sikkerhedskopiering og beskyttelse af arbejdsstationer, men som ikke kan udpege ejeren af processen for hændelseshåndtering. Virksomheden har heller ikke afklaret, hvordan et nedbrud i produktionsplanlægningssystemet vil påvirke ordreplaner, materialetilgængelighed og leveringssikkerhed. Udfordringen er da ikke alene niveauet af tekniske sikkerhedsforanstaltninger, men også manglende ansvarstildeling og utilstrækkelig analyse af afhængigheden mellem IT-systemet og leveringen af tjenesten.

Når forretningsmodellen er beskrevet, bør der gennemføres en juridisk vurdering efter de sektor-, enheds- og størrelseskriterier, der er gældende på udgivelsesdatoen. Den formelle konklusion bør godkendes af det organ eller den person, der har beføjelse til at repræsentere organisationen, med inddragelse af juridisk funktion samt ejere af tjenester og processer. IT-funktionen leverer oplysninger om systemerne, men bør ikke alene afgøre organisationens klassifikation. Emnet uddybes i artiklen „NIS2-direktivet – hvem er omfattet, og hvilke virksomheder skal opfylde de nye krav?”.

Implementeringsomkostningen stopper ikke ved fakturaen

Intern gennemførelse er ikke omkostningsfri, ligesom honoraret til en implementeringspartner ikke udgør den fulde omkostning ved ekstern støtte. Beregningen bør omfatte tidsforbruget hos ledelsen, procesejere, IT, indkøb, HR, juridisk funktion og den systemansvarlige for ledelsessystemet. Tiden bør værdisættes efter interne omkostningssatser og det faktiske timeforbrug, inklusive de driftsopgaver, som medarbejderne ikke kan udføre under projektet. Arbejdsbelastningen afhænger især af antallet af lokationer, processer, systemer, leverandører og selskaber inden for omfanget.

De mest undervurderede aktiviteter er typisk dataindsamling, afklaring af ansvar, registrering af aktiver og leverandører, etablering af dokumentation for udførelse, gennemførelse af test og uddannelse samt rettelse af indbyrdes modstridende regler. En implementeringspartner kan kun reducere dette arbejde, hvis vedkommende kan omsætte kravene til organisationens eksisterende processer, roller og værktøjer. Standardpolitikker, der leveres uden forståelse for virksomheden, fjerner ikke omkostningen, men flytter den til afklarings-, implementerings- og vedligeholdelsesfasen.

Dokumentation for hændelseshåndtering kan udarbejdes hurtigt, men er kun formel, hvis vagtordninger, eskalationsveje, sikring af bevismateriale og stedfortrædere ikke er aftalt. Den reelle omkostning viser sig under en test eller en faktisk hændelse, når proceduren må bygges om. Budgettet bør derfor skelne mellem engangsudgifter og løbende omkostninger og omfatte rådgiverhonorar, tekniske investeringer, projektbetingede driftsforstyrrelser, rettelser samt årlig vedligeholdelse i form af gennemgange, test, uddannelse, dokumentationsopdateringer, leverandørvurderinger og hændelseshåndtering.

Et fungerende ledelsessystem for informationssikkerhed eller et certifikat kan reducere behovet for kortlægning, risikovurdering, dokumentstyring og audit, hvis løsningerne reelt fungerer inden for det vurderede område. Det erstatter dog hverken vurderingen af konkrete forpligtelser efter de relevante regler eller kontrollen af, om de eksisterende sikkerhedsforanstaltninger passer til de omfattede tjenester. Sammenhængen forklares i artiklen NIS2 og DS/EN ISO 27001: Hvad giver certifikatet, og hvad mangler fortsat for at opfylde KSC-kravene?.

Tidsforbruget afhænger af organisationens beslutningskraft

Det er sjældent hastigheden, hvormed procedurer kan skrives, der afgør, hvor lang tid forberedelsen til NIS2-kravene tager. De væsentligste begrænsninger er tilgængeligheden af pålidelige data, procesejere og personer med mandat til at godkende ændringer. Tidsplanen bør afspejle deres faktiske tilgængelighed, styregruppens mødefrekvens og den tid, der kræves til tværgående beslutninger. En annonceret dato for aflevering af dokumentation er ikke et relevant mål for fremdrift, hvis organisationen endnu ikke har godkendt omfang, ansvar og prioriteringer.

Aktiviteterne skal planlægges efter deres indbyrdes afhængigheder. Først fastlægges omfang, roller, processer og aktiver. Derefter gennemføres risikovurderingen, en plan for risikobehandling vedtages, sikkerhedsforanstaltninger implementeres, test udføres, og dokumentation for den faktiske funktion indsamles. Aktiviteter baseret på de samme godkendte forudsætninger kan gennemføres parallelt, eksempelvis kortlægning af kontrakter og gennemgang af eksisterende sikkerhedsforanstaltninger. En detaljeret risikovurdering bør derimod ikke indledes, før de omfattede tjenester, processer, systemer, informationer og leverandørafhængigheder er identificeret.

Ved prioriteringen skal der skelnes mellem mangler, som kræver indkøb, kontraktændringer, tekniske integrationer eller test. Hver kategori har sin egen godkendelsesproces og gennemførelsestid. Ekstern støtte kan forkorte diagnosticeringen, effektivisere workshops og strukturere resultaterne, men rådgiveren kan ikke på ledelsens vegne beslutte, hvilke risici der accepteres, hvordan investeringer prioriteres, eller hvor lang en afbrydelse i tjenesteleveringen der kan tolereres. Hvis disse beslutninger udskydes til projektets afslutning, kommer dokumentationen foran de operationelle løsninger, og dele af analysen må gennemføres igen.

Fremdrift bør derfor måles på antallet af godkendte beslutninger, afklarede afhængigheder og sikkerhedsforanstaltninger, hvis funktion er verificeret – ikke på antallet af udarbejdede dokumenter. Selv en tidsplan på få uger vil være urealistisk, hvis organisationen ikke har en opdateret systemoversigt, et register over leverandørkontrakter eller udpegede procesejere. Projektgruppen kan da beskrive den erklærede tilstand, men ikke fastlægge ansvaret for kontinuitet, genetablering af tjenester og leverandørstyring.

Proceskortlægning skal understøtte disse beslutninger og ikke blot øge dokumentationsmængden. Valget af et passende detaljeringsniveau behandles i sammenligningen „BPMN eller flowchart – hvilket værktøj egner sig bedst til kortlægning af kvalitetsprocesser?”. I denne sammenhæng er det rigtige værktøj det, der entydigt viser roller, ansvarsoverdragelser, informationsafhængigheder og områder, som kræver sikring eller stedfortræderordninger.

Risikoen skyldes først og fremmest forkerte forudsætninger

En vellykket forberedelse til NIS2 afhænger ofte mere af korrekte forudsætninger end af antallet af gennemførte opgaver. Ved intern gennemførelse er de største risici en forkert fortolkning af omfanget, oversete forretningsmæssige afhængigheder og en opfattelse af cybersikkerhed som IT-afdelingens ansvar alene. Organisationen kan dermed overse produktion, logistik, vedligehold, forsyningskontinuitet eller forpligtelser over for kunder. Samtidig mangler der et uafhængigt perspektiv på praksisser, som internt anses for tilstrækkelige, alene fordi de hidtil ikke har medført synlige forstyrrelser.

Ekstern støtte fjerner ikke automatisk disse risici. Risikoen øges, hvis leverandøren afleverer en standardpakke med dokumenter uden at forstå organisationens tjenester, processer og afhængigheder, undlader at involvere procesejerne eller ikke overfører den viden, som kræves for at vedligeholde løsningerne. Resultatet bliver et system, der afhænger af dokumentationens forfatter frem for de personer, som har ansvaret for den daglige drift.

Det er derfor relevant at adskille udførelsen af arbejdet fra den uafhængige slutevaluering, især når den samme part har defineret omfanget, vurderet risici og valgt sikkerhedsforanstaltninger. Beslutningen om at acceptere den resterende risiko bør forblive hos den relevante ledelse.

Overensstemmelse på papiret viser sig som en forskel mellem det beskrevne og det udførte: Politikken beskriver en anden arbejdsgang end den faktiske proces, risikoregisteret påvirker ikke prioriteringer eller investeringer, og proceduren for hændelseshåndtering er ikke afprøvet. En dokumentationsmangel betyder, at et nødvendigt dokument mangler eller er inkonsistent. En operationel mangel foreligger, når organisationen ikke kan udføre en aktivitet, placere ansvaret eller fremlægge dokumentation for aktivitetens effektivitet. En udfyldt formular kan lukke den første mangel, men kan ikke erstatte en test, en beslutning eller en ændret arbejdsform.

Et eksempel er en virksomhed med en godkendt procedure for rapportering af hændelser, hvor produktionsmedarbejderne ikke ved, hvordan utilgængelighed i et styrings- eller planlægningssystem skal rapporteres. Samtidig er der ikke aftalt eskalationsvej, kontaktpersoner eller håndtering uden for normal arbejdstid med tjenesteleverandøren. Dokumentet findes, men under en driftsforstyrrelse går de første minutter med at afklare ansvaret. En sådan mangel opdages først ved en øvelse, der omfatter brugeren, procesejeren, IT, ledelsen og leverandøren.

En modenhedsvurdering bør undersøge organisationens evne til at handle og fremlægge troværdig dokumentation – ikke kun om dokumenterne er komplette. Relevante målepunkter kan være antallet af uafsluttede handlinger fra tidligere audit og test, resultater af gendannelsestest, konklusioner fra gennemgange af hændelser og driftsforstyrrelser samt andelen af kritiske leverandører, der er vurderet og omfattet af aftalte krav – altid baseret på organisationens egne data. Fremgangsmåden uddybes i artiklen „NIS2-audit i en produktionsvirksomhed – sådan vurderes organisationens parathed til de nye forpligtelser”.

Hybridmodellen giver normalt den bedste styring

Valget af implementeringsmodel bør baseres på organisationens faktiske evne til at gennemføre arbejdet og ikke alene på en sammenligning af rådgivningssatser. Intern gennemførelse er rationel, når projektet har en kompetent ejer, risikostyringsprocesserne er modne, registrene over aktiver og afhængigheder er opdaterede, og nøglemedarbejderne både har tid og kan fortolke kravene. Mere omfattende ekstern støtte er relevant ved store kompetencegab, en geografisk spredt struktur, væsentlige teknologiske afhængigheder, en kort forberedelsesperiode eller manglende struktur i ledelsessystemet.

En hybridmodel giver oftest den bedste styring af omkostninger, tid og risiko. Organisationen bevarer ansvaret for beslutninger, kildedata, ejerskab af risici og gennemførelse af operationelle handlinger. Rådgiveren har ansvar for diagnosticering, metode, facilitering af workshops, analyser, der kræver specialistviden, og kvalitetssikring af resultaterne.

Som minimum bør følgende forblive i organisationen:

• vurdering af processernes og tjenesternes betydning;
• udpegning af risikoejere;
• accept af resterende risiko;
• fastlæggelse af investeringsprioriteter;
• bekræftelse af, at sikkerhedsforanstaltningerne fungerer i praksis.

Ledelsen kan ikke overføre ansvaret for organisationens robusthed til en leverandør.

En virksomhed med flere produktionssteder kan selv indsamle oplysninger om tjenester, aktiver, leverandører og konsekvenser af driftsforstyrrelser, fordi en pålidelig vurdering kræver operationel viden. En ekstern specialist kan derefter strukturere vurderingsmetoden, udfordre inkonsistenser, facilitere tværgående workshops og kontrollere, om dokumentationen er tilstrækkelig. Om denne arbejdsdeling er rentabel, afhænger af antallet og kompetencerne hos de medarbejdere, der reelt kan frigøres til projektet – ikke af projektgruppens formelle størrelse.

Tilbud bør sammenlignes på grundlag af samme leveranceomfang og de samme acceptkriterier. Leverandørens referencer bør vurderes efter ligheden i sektor, skala, processer og teknologisk miljø og ikke alene efter antallet af gennemførte projekter. Aftalen bør klart definere leverancer, acceptkriterier, krav om at knytte løsningerne til de faktiske processer, overførsel af viden, fortrolighed og adgang til følsomme data, ansvar for rettelser samt omfanget af støtte efter implementeringen. Honoreringsmodellen bør ikke belønne antallet af dokumenter, men opnåelsen af aftalte og verificerbare resultater.

Den praktiske ansvarsfordeling mellem ledelsen, procesejerne og støttefunktionerne uddybes i artiklen NIS2 i ledelsespraksis: Sådan omsættes krav til beslutninger, ansvar og reel organisatorisk robusthed.

Basér beslutningen på dokumentation og evnen til at vedligeholde systemet

Valget af implementeringsmodel bør indledes med en kort organisatorisk diagnose. Projektets omfang skal bekræftes, en ejer skal udpeges, de tilgængelige kompetencer skal vurderes, eksisterende dokumentation for faktisk praksis skal kortlægges, og de væsentligste mangler skal estimeres. Først derefter kan det afgøres, hvilke opgaver organisationen selv bør udføre, og hvor en specialist kan reducere risikoen for fejlfortolkning, oversete forhold eller gentagelse af arbejdet.

Ledelsens beslutning bør sammenligne tre modeller: intern gennemførelse, en hybridmodel og mere omfattende ekstern støtte. De samme kriterier skal anvendes på alle tre:

• samlede omkostninger, inklusive personaletid, rettelser og vedligeholdelse;
• den nødvendige tid til at opnå operationel kapacitet;
• risikoen for fejl og gentagelse af arbejde;
• den reelle tilgængelighed af kompetencer;
• organisationens evne til selv at vedligeholde løsningerne.

Ledelsesbeslutningen bør angive den valgte model, ansvarsfordelingen, projektejeren, ressourcerne, rapporteringsformen, acceptkriterierne og effektivitetsmål, der tager udgangspunkt i organisationens processer frem for universelle tærskler uden kontekst.

Implementeringen bør ikke godkendes på baggrund af antallet af udarbejdede politikker. Resultatet skal være en repeterbar praksis: tildelte roller, dokumenterede risikobeslutninger, implementerede sikkerhedsforanstaltninger, afprøvede reaktioner på driftsforstyrrelser og hændelser, leverandørstyring samt troværdige registreringer. En godkendt beredskabsprocedure dokumenterer ikke parathed, hvis en test viser forældede kontaktoplysninger, en uklar eskalationsvej eller fravær af en person med mandat til at træffe beslutningen.

Acceptkriterierne bør omfatte overensstemmelse mellem dokumentation og praksis, lukning af aftalte mangler, testresultater, overførsel af viden og en entydig plan for fortsat forbedring, herunder en plan for interne audit. Acceptdokumentationen kan bestå af godkendelser, registre, testresultater, uddannelsesprotokoller, risikobeslutninger og bekræftelser på gennemførte handlinger. Udarbejdelse og vedligeholdelse af denne dokumentation uddybes i artiklen NIS2- og KSC-dokumentation før kontrol: Hvilke politikker, registre og beviser er reelt nødvendige?.

Løsningens holdbarhed kan først vurderes, når rådgiverens deltagelse reduceres. Procesejerne skal derefter selv kunne opdatere registre, træffe risikobeslutninger, analysere testresultater og iværksætte korrigerende handlinger. Hvis systemet kun fungerer på grund af leverandørens viden, er projektet ikke afsluttet: Organisationen har modtaget dokumentation, men har ikke opbygget kapacitet til at vedligeholde den.