NIS2 på egen hand eller med en implementeringspartner? Jämförelse av kostnad, tid och risk

Valet mellan att genomföra NIS2-arbetet internt och att anlita en implementeringspartner kan inte reduceras till en jämförelse mellan konsultarvodet och den egna personalens arbetstid. Projektets utfall avgörs i hög grad av kravens omfattning, beslutsfattarnas tillgänglighet, kvaliteten på process- och tillgångsdata samt organisationens förmåga att förvalta lösningarna över tid. Det alternativ som ser billigast ut kan bli det dyraste om det leder till en felaktig bedömning av tillämpligheten, om analyser måste göras om eller om dokumentationen inte speglar verksamhetens faktiska arbetssätt. Börja därför med att fastställa omfattning och gap. Jämför därefter den totala kostnaden, tidsåtgången och risken för tre genomförandemodeller innan ni väljer leverantör och arbetssätt.

Välj inte genomförandepartner innan skyldigheterna är klarlagda

En jämförelse mellan ett internt genomförande och externt stöd blir meningsfull först när organisationen har fastställt om den omfattas av NIS2 och av de nationella bestämmelser som införlivar kraven. Om organisationen omfattas behöver det också klargöras vilka tjänster, enheter, verksamhetsställen och tillgångar som ska ingå i bedömningen. Utan denna avgränsning går det inte att göra en tillförlitlig uppskattning av arbetsinsats, tid eller kostnad. Ledningen bör samtidigt utse en projektägare med mandat att samordna beslut mellan verksamheten, juridikfunktionen och IT.

Utgångspunkten är inte att köpa ett dokumentpaket eller ett IT-verktyg, utan att beskriva verksamhetsmodellen. Organisationen behöver identifiera sina tjänster, de processer, system och data som stöder dem samt de leverantörer och beroenden som är avgörande för kontinuiteten. Först med en sådan karta går det att bedöma om hela bolaget eller endast vissa tjänster och verksamhetsställen ska omfattas. Den första etappen bör resultera i en dokumenterad bedömning av organisationens status, tydliga avgränsningar och en förteckning över områden som behöver utvärderas eller åtgärdas.

Formell tillämplighet måste skiljas från verksamhetens behov av högre motståndskraft. En organisation kan ligga utanför lagkravens direkta tillämpningsområde men ändå behöva uppfylla krav från kunder, koncernen, försäkringsgivare eller andra aktörer i leveranskedjan. Ett sådant projekt bör inte beskrivas som uppfyllande av en lagstadgad skyldighet, utan som ett svar på konkreta avtalskrav och operativa risker.

Ett exempel är ett tillverkningsföretag som har brandväggar, säkerhetskopiering och skydd för klientenheter men inte kan ange vem som äger processen för incidenthantering. Företaget har inte heller analyserat hur ett avbrott i produktionsplaneringssystemet påverkar orderplanering, materialtillgång och leveransprecision. Problemet är då inte bara nivån på de tekniska skyddsåtgärderna. Det handlar också om otydligt ansvar och bristande analys av beroendet mellan IT-systemet och leveransen av tjänsten.

När verksamheten har kartlagts bör en rättslig bedömning göras enligt de sektors-, organisations- och storlekskriterier som gäller vid publiceringstidpunkten. Den formella ståndpunkten bör godkännas av det organ eller den person som har rätt att företräda organisationen, med medverkan från juridikfunktionen och ägarna av berörda tjänster och processer. IT tillhandahåller information om systemen men bör inte ensamt avgöra organisationens rättsliga klassificering. Frågan utvecklas i artikeln ”NIS2-direktivet – vilka omfattas och vilka företag behöver uppfylla de nya kraven?”.

Implementeringskostnaden slutar inte med konsultfakturan

Att genomföra arbetet internt är inte kostnadsfritt. På motsvarande sätt utgör konsultarvodet inte hela kostnaden för externt stöd. Kalkylen bör inkludera arbetstiden för ledningen, processägare, IT, inköp, HR, juridikfunktionen och ansvariga för ledningssystemet. Tiden bör värderas enligt interna kostnadssatser och faktiska arbetstimmar, inklusive det operativa arbete som inte kan utföras under projektet. Arbetsinsatsen påverkas framför allt av hur många verksamhetsställen, processer, system, leverantörer och bolag som omfattas.

Det som oftast underskattas är datainsamling, ansvarsfördelning, inventering av tillgångar och leverantörer, framtagning av verifierbara underlag, tester och utbildningar samt korrigering av motstridiga styrande dokument. En implementeringspartner kan endast förkorta arbetet om den kan omsätta kraven i organisationens befintliga processer, roller och verktyg. Att lämna över standardiserade policydokument utan att förstå verksamheten tar inte bort kostnaden. Den flyttas till samordning, införande och framtida uppdateringar.

Dokumentation för incidenthantering kan tas fram snabbt men får begränsat värde om beredskap, eskaleringsvägar, bevissäkring och ersättare inte har fastställts. Den verkliga kostnaden blir synlig under en övning eller incident, när rutinen behöver byggas om. Budgeten bör därför skilja mellan engångskostnader och löpande kostnader. Den bör omfatta konsultarvode, tekniska investeringar, intern projekttid och undanträngningseffekter, korrigeringar samt årlig förvaltning i form av uppföljningar, tester, utbildningar, dokumentuppdateringar, leverantörsbedömningar och incidenthantering.

Ett fungerande ledningssystem för informationssäkerhet eller ett certifikat kan minska behovet av ny inventering, riskbedömning, dokumentstyrning och revision, förutsatt att arbetssätten verkligen fungerar inom det berörda området. Det ersätter däremot inte en bedömning av de konkreta skyldigheter som följer av tillämpliga bestämmelser eller en kontroll av att befintliga skyddsåtgärder motsvarar de tjänster som omfattas. Sambandet förklaras i artikeln NIS2 och SS-EN ISO 27001: vad certifikatet ger och vad som fortfarande saknas för efterlevnad av KSC.

Tidsåtgången avgörs av organisationens beslutsförmåga

Det är sällan hastigheten i att skriva rutiner som avgör hur lång tid NIS2-förberedelserna tar. De vanligaste begränsningarna är tillgången till tillförlitliga data, processägare och personer med mandat att godkänna förändringar. Tidsplanen bör bygga på dessa personers faktiska tillgänglighet, styrgruppens mötesfrekvens och den tid som krävs för tvärfunktionella beslut. Ett utlovat datum för leverans av dokumentation är inte ett relevant mått på framsteg om organisationen ännu inte har godkänt omfattning, ansvar och prioriteringar.

Arbetet behöver planeras utifrån beroenden. Börja med att fastställa omfattning, roller, processer och tillgångar. Genomför därefter riskanalysen, besluta om riskbehandling, införa skyddsåtgärder, testa dem och samla bevis på att de fungerar. Uppgifter som bygger på samma godkända förutsättningar kan genomföras parallellt, exempelvis inventering av avtal och granskning av befintliga skydd. En detaljerad riskanalys bör däremot inte påbörjas innan det är klart vilka tjänster, processer, system, informationstillgångar och leverantörsberoenden som ingår.

Vid prioriteringen behöver organisationen skilja mellan gap som kräver inköp, avtalsändringar, tekniska integrationer eller tester. Varje kategori har sin egen beslutsväg och ledtid. Externt stöd kan förkorta nulägesanalysen, effektivisera workshoppar och strukturera resultaten. Konsulten kan däremot inte fatta ledningens beslut om riskacceptans, investeringsordning eller accepterad avbrottstid för verksamhetskritiska tjänster. Om sådana beslut skjuts upp till projektets slut kommer dokumentationen att ligga före den operativa lösningen, och delar av analysen kan behöva göras om.

Framsteg bör därför mätas i godkända beslut, hanterade beroenden och verifierade skyddsåtgärder, inte i antalet framtagna dokument. Även en tidsplan på några veckor blir orealistisk om organisationen saknar en aktuell systemförteckning, ett register över leverantörsavtal eller utsedda processägare. Projektgruppen kan då beskriva ett antaget nuläge men inte fastställa ansvar för kontinuitet, återställning av tjänster eller leverantörsstyrning.

Processkartläggning ska stödja dessa beslut, inte skapa mer dokumentation än vad verksamheten behöver. Artikeln ”BPMN eller flödesschema – vilket verktyg fungerar bäst för kartläggning av kvalitetsprocesser?” underlättar valet av lämplig detaljnivå. I detta sammanhang är rätt verktyg det som tydligt visar roller, överlämningar, informationsberoenden och de områden som behöver skydd eller reservlösningar.

Risken uppstår framför allt genom felaktiga antaganden

Hur väl förberedelserna för NIS2 lyckas avgörs oftare av kvaliteten på grundantagandena än av antalet slutförda aktiviteter. Vid ett internt genomförande är de största riskerna en felaktig tolkning av omfattningen, förbisedda verksamhetsberoenden och en syn på cybersäkerhet som enbart IT-avdelningens ansvar. Organisationen kan då missa produktionsprocesser, logistik, underhåll, försörjningskontinuitet eller åtaganden gentemot kunder. Det saknas också ett oberoende perspektiv på arbetssätt som internt betraktas som tillräckliga enbart för att de hittills inte har lett till synliga störningar.

Externt stöd eliminerar inte automatiskt dessa risker. Risken ökar om leverantören tillhandahåller ett standardiserat dokumentpaket utan att förstå organisationens tjänster, processer och beroenden, inte engagerar processägarna eller inte överför den kunskap som krävs för fortsatt förvaltning. Resultatet blir då ett system som är beroende av dokumentförfattaren i stället för av de personer som ansvarar för den dagliga verksamheten.

Det kan därför vara lämpligt att skilja genomförandet från den oberoende slutbedömningen, särskilt om samma part har utformat omfattningen, bedömt riskerna och valt skyddsåtgärderna. Beslut om att acceptera kvarstående risk bör alltid ligga hos behörig ledning.

Skenbar efterlevnad visar sig som en skillnad mellan dokumentation och praktik: policyn beskriver ett annat arbetssätt än det som faktiskt tillämpas, riskregistret påverkar inte prioriteringar eller investeringar och incidentrutinen har aldrig övats. Ett dokumentationsgap innebär att ett nödvändigt dokument saknas eller är inkonsekvent. Ett operativt gap föreligger när organisationen inte kan utföra en aktivitet, fördela ansvaret eller visa tillförlitliga bevis på att arbetssättet fungerar. Att komplettera en blankett kan stänga det första gapet men ersätter inte ett test, ett ledningsbeslut eller en förändring av arbetssättet.

Ett exempel är en anläggning med en godkänd rutin för incidentrapportering där produktionspersonalen inte vet hur otillgänglighet i ett styr- eller planeringssystem ska rapporteras. Samtidigt saknar tjänsteleverantören en överenskommen eskaleringsväg, namngivna kontaktpersoner och regler för hantering utanför ordinarie arbetstid. Dokumentet finns, men vid en störning går de första minuterna åt till att fastställa vem som ansvarar. Ett sådant gap blir synligt först i en övning som omfattar användaren, processägaren, IT, ledningen och leverantören.

En beredskapsrevision bör bedöma organisationens förmåga att agera och presentera tillförlitliga belägg, inte bara om dokumentationen är komplett. Relevanta mått kan vara antalet ej slutförda åtgärder från tidigare revisioner och tester, resultat från återställningsprov, slutsatser från granskningar av incidenter och störningar samt andelen kritiska leverantörer som har bedömts och omfattas av överenskomna krav. Måtten bör alltid baseras på organisationens egna data. Metoden utvecklas i artikeln ”NIS2-revision i ett tillverkningsföretag – så bedömer ni om organisationen är redo för de nya skyldigheterna”.

En kombinerad modell ger vanligtvis bäst kontroll

Genomförandemodellen bör väljas utifrån organisationens faktiska förmåga att utföra arbetet, inte enbart genom att jämföra konsultpriser. Ett internt genomförande är rimligt när projektet har en kompetent ägare, processerna för riskhantering är mogna, inventeringarna av tillgångar och beroenden är aktuella och nyckelpersonerna både har tid och kan tolka kraven. Mer omfattande externt stöd är motiverat när det finns betydande kompetensgap, en geografiskt eller organisatoriskt spridd struktur, väsentliga teknikberoenden, kort förberedelsetid eller avsaknad av ett strukturerat ledningssystem.

En kombinerad modell ger oftast bäst kontroll över kostnad, tid och risk. Organisationen behåller ansvaret för beslut, källdata, riskägarskap och genomförandet av operativa åtgärder. Rådgivaren ansvarar för nulägesanalys, metodik, facilitering av workshoppar, analyser som kräver specialistkompetens och kvalitetssäkring av resultatet.

Organisationen bör åtminstone behålla ansvaret för att:

• fastställa betydelsen av processer och tjänster;
• utse riskägare;
• acceptera kvarstående risk;
• prioritera investeringar;
• bekräfta att skyddsåtgärderna fungerar i praktiken.

Ledningen kan inte överföra ansvaret för organisationens motståndskraft till en extern leverantör.

Ett företag med flera anläggningar kan internt samla in information om tjänster, tillgångar, leverantörer och konsekvenser av störningar, eftersom en tillförlitlig bedömning kräver verksamhetskunskap. En extern specialist kan därefter strukturera bedömningsmetoden, utmana inkonsekvenser, leda tvärfunktionella workshoppar och kontrollera att underlagen är fullständiga. Hur kostnadseffektiv denna ansvarsfördelning blir avgörs av hur många personer med rätt kompetens som faktiskt kan avsättas, inte av projektgruppens formella bemanning.

Anbud bör jämföras utifrån samma leveranser och acceptanskriterier. Leverantörens referenser bör värderas efter likhet i sektor, skala, processer och teknisk miljö, inte enbart efter antalet uppdrag. Avtalet bör tydligt ange leveranser, acceptanskriterier, krav på att lösningarna ska utgå från verksamhetens faktiska processer, kunskapsöverföring, sekretess och åtkomst till känsliga uppgifter, ansvar för korrigeringar samt omfattningen av stödet efter införandet. Ersättningsmodellen bör inte premiera antalet dokument utan uppnådda och verifierbara resultat.

Den praktiska ansvarsfördelningen mellan ledning, processägare och stödfunktioner utvecklas i artikeln NIS2 i ledningspraktiken: från krav till beslut, ansvar och verklig organisatorisk motståndskraft.

Basera beslutet på belägg och förmågan att förvalta systemet

Valet av genomförandemodell bör föregås av en kort organisatorisk nulägesanalys. Bekräfta projektets omfattning, utse en projektägare, bedöm tillgänglig kompetens, inventera befintliga belägg för fungerande arbetssätt och uppskatta de viktigaste gapen. Först därefter går det att avgöra vilka delar organisationen kan genomföra internt och var specialiststöd minskar risken för feltolkningar, förbiseenden eller omarbete.

Ledningens beslutsunderlag bör jämföra tre alternativ: internt genomförande, en kombinerad modell och mer omfattande externt stöd. Samma kriterier ska tillämpas på samtliga alternativ:

• total kostnad, inklusive personaltid, korrigeringar och förvaltning;
• tiden till uppnådd operativ förmåga;
• risken för fel och omarbete;
• den faktiska tillgången till nödvändig kompetens;
• organisationens förmåga att självständigt förvalta lösningarna.

Ledningsbeslutet bör ange vald modell, ansvarsfördelning, projektägare, resurser, rapporteringsform, acceptanskriterier och effektmått som utgår från organisationens processer – inte från generella tröskelvärden utan verksamhetskontext.

Implementeringen bör inte godkännas utifrån antalet framtagna policydokument. Resultatet ska vara ett repeterbart arbetssätt med utsedda roller, dokumenterade riskbeslut, införda skyddsåtgärder, testad hantering av störningar och incidenter, leverantörsstyrning samt tillförlitliga register och andra belägg. En godkänd incidentrutin visar inte att organisationen är redo om ett test avslöjar inaktuella kontaktuppgifter, en oklar eskaleringsväg eller avsaknad av en person med rätt beslutsmandat.

Acceptanskriterierna bör omfatta överensstämmelse mellan dokumentation och praktik, hantering av överenskomna gap, testresultat, kunskapsöverföring och en tydlig plan för fortsatt förbättring, inklusive internrevisioner. Godkännandeunderlagen kan bestå av attesteringar, register, testresultat, utbildningsprotokoll, riskbeslut och bekräftelser på genomförda åtgärder. Hur sådana belägg förbereds och förvaltas utvecklas i artikeln NIS2- och KSC-dokumentation inför tillsyn: vilka policyer, register och belägg behövs i praktiken?.

Lösningens hållbarhet kan bedömas först när rådgivarens medverkan har minskat. Processägarna ska då självständigt kunna uppdatera register, fatta riskbeslut, analysera testresultat och initiera korrigerande åtgärder. Om systemet endast fungerar tack vare leverantörens kunskap är projektet inte avslutat. Organisationen har fått dokumentation men har inte byggt upp förmågan att förvalta den.