NIS2-hændelsesrapportering inden for 24 og 72 timer: procedure, ansvar og beredskabsøvelse

En procedure for rapportering af hændelser inden for 24 og 72 timer må hverken begynde med en formular eller ende som it-afdelingens ansvar. Effekten afhænger af, hvornår organisationen anser sig for at være blevet bekendt med hændelsen, hvem der vurderer konsekvenserne, hvem der træffer beslutningen, og om rapporteringen kan udarbejdes og indsendes trods ufuldstændige oplysninger, fravær blandt nøglepersoner eller nedbrud i de primære systemer. Beredskabet skal derfor etableres som en tværgående proces og derefter afprøves i en tidskritisk øvelse.

Hvorfor fristen begynder at løbe tidligere, end ledelsen ofte forventer

Fristens begyndelsestidspunkt bør ikke først knyttes til en fuldstændig teknisk bekræftelse eller til, at sagen er overdraget til den person, der er bemyndiget til at foretage rapporteringen. Organisationen skal skelne mellem en begivenhed, forstået som en observeret anomali eller advarsel, og en sikkerhedshændelse, der påvirker fortroligheden, integriteten, tilgængeligheden eller autenticiteten af aktiver og tjenester. Næste niveau er en hændelse, der opfylder de lovbestemte kriterier for rapportering. Ikke enhver alarm udløser således 24- og 72-timersforløbet, men ethvert signal bør klassificeres efter fastlagte kriterier.

Den største risiko for forsinkelse opstår, når proceduren ikke definerer, hvornår organisationen anses for at være blevet bekendt med hændelsen. Den første oplysning kan modtages af servicedesken, en produktionsoperatør, en administrator, en tjenesteudbyder eller kundeservice. Hvis tiden først regnes fra det tidspunkt, hvor et ledelsesmedlem eller sikkerhedskoordinatoren orienteres, opstår der et kunstigt mellemrum mellem den faktiske erkendelse af forstyrrelsen og den formelle reaktion. Proceduren bør derfor fastlægge interne og eksterne rapporteringskilder, eskalationskriterier samt den rolle, der afgør, om forstyrrelsen har overskredet tærsklen for et almindeligt driftsnedbrud.

Hvis en leverandør, der driver et produktionssystem, oplyser servicedesken om tab af tilgængelighed og mistanke om ekstern påvirkning, kan årsagen, det fulde omfang og den forventede tid til genopretning fortsat være ukendte. Det berettiger ikke til at afvente den endelige tekniske rapport. Til eskalation er det tilstrækkeligt at kende tidspunktet, hvor signalet blev identificeret, de berørte tjenester og lokationer, den observerede påvirkning, mulige konsekvenser og iværksatte afværgeforanstaltninger. På dette grundlag foretager en bemyndiget person en foreløbig vurdering og dokumenterer beslutningen om, hvorvidt rapporteringsforløbet skal aktiveres.

24- og 72-timersfaserne bør betragtes som en gradvis udbygning af viden om den samme hændelse: Først afgives en tidlig varsling på grundlag af de tilgængelige indikationer, hvorefter vurderingen suppleres med mere præcise oplysninger. Der er ikke tale om to uafhængige administrative pligter. Konkrete frister, klassifikationstærskler og rapporteringskanaler skal altid kontrolleres i den gældende nationale lovgivning, der gennemfører NIS2, samt i kravene fra den kompetente myndighed. Proceduren bør ikke baseres på direktivet alene. Effektiviteten af de valgte løsninger kan verificeres gennem NIS2-audit i en produktionsvirksomhed – sådan vurderes organisationens beredskab til de nye forpligtelser.

Hvor organisationen mister de første timer

De første timer går ofte ikke med teknisk analyse, men med ventetid. En sag bliver liggende i supportsystemet, kontaktvejen fungerer ikke uden for normal arbejdstid, leverandøren udarbejder en vurdering, afdelinger diskuterer påvirkningens omfang, og den beslutningsbemyndigede person er utilgængelig. Forsinkelsen forstærkes, når oplysninger skal samles manuelt fra flere kilder. Problemet opstår især i grænsefladerne mellem it, operationel teknologi, produktion, kvalitet, jura, kommunikation, databeskyttelse, indkøb og ledelse, fordi hvert område kun råder over en del af det samlede informationsgrundlag.

I en produktionsvirksomhed giver tab af adgang til planlægningssystemet kombineret med ustabilitet i dele af udstyret ikke straks et fuldstændigt billede. Det kan være et nedbrud i indbyrdes afhængige systemer, en forstyrrelse i den operationelle teknologi eller en hændelse med større rækkevidde. Organisationen bør parallelt sikre driften og produktionskontinuiteten, identificere berørte aktiver og lokationer samt gennemføre eskalationen. Teknisk begrænsning af konsekvenserne må ikke afvente en formel beslutning, men beslutningen om rapportering bør heller ikke udsættes, indtil årsagen er fastlagt eller forstyrrelsen er fuldt afhjulpet.

Flaskehalse afdækkes bedst gennem en scenariebaseret øvelse, der også omfatter et natligt forløb og en utilgængelig nøgleperson. Tiden fra det første signal til eskalation, klassifikation, kontakt med beslutningstageren og indsamling af minimumsoplysninger bør måles. Kontraktvilkårene for it- og telekommunikationsleverandører skal også kontrolleres. En leverandør kan bistå med at udarbejde oplysninger, men rapportering på organisationens vegne kræver et klart grundlag, korrekt bemyndigelse og overensstemmelse med den gældende procedure. Det forhold, at leverandøren driver systemet, overfører ikke i sig selv ansvaret.

Beredskabsvurderingen bør omfatte hele organisationen og ikke kun it-afdelingen: roller, informationsflow, leverandører, operationel teknologi og krisestyring. Dokumentationen for, at disse mekanismer fungerer, bør være sammenhængende med omfanget beskrevet i NIS2- og KSC-dokumentation før kontrol: hvilke politikker, registre og beviser organisationen reelt skal have.

Proceduren fra det første signal til indsendt rapport

Proceduren skal føre fra det første signal til dokumenteret indsendelse uden at gøre beslutningen afhængig af, at den tekniske analyse er afsluttet. Forløbet omfatter modtagelse af signalet, registrering af tidspunkt og kilde, foreløbig klassifikation, sikring af bevismateriale og vurdering af påvirkningen på tjenesten. Derefter aktiveres eskalationen, beslutningen træffes, meddelelsen udarbejdes og sendes via den korrekte kanal, og kvitteringen gemmes. Hvert trin kræver en procesejer, en stedfortræder, en intern frist og en defineret registrering. De interne frister skal give plads til godkendelse og håndtering af tekniske problemer ved indsendelsen frem for at være identiske med den lovbestemte slutfrist.

I den første fase, inden for 24 timer, kræves et minimumssæt af bekræftede oplysninger: identifikation af enheden, opdagelsestidspunkt, berørt tjeneste, observerede konsekvenser, kendt omfang og iværksatte tiltag. Usikre oplysninger skal markeres som foreløbige med angivelse af kilde og metode til verifikation. Manglende viden om årsagen, det fulde omfang eller hændelsens afslutningstidspunkt bør hverken føre til en kunstig fremstilling af fuldstændighed eller automatisk blokere meddelelsen. Proceduren skal fastlægge, hvem der godkender rapporteringen, hvem der træder til som stedfortræder, og hvordan allerede indsendte oplysninger opdateres.

Når en produktionsenhed mister adgangen til systemet, der styrer ordreafviklingen, registrerer koordinatoren alarmen, opdagelsestidspunktet og brugernes observationer, mens det tekniske team parallelt sikrer hændelseslogfiler og begrænser konsekvenserne. Tjenesteejeren vurderer påvirkningen på produktion, logistik og kunder, mens beslutningstageren afgør rapporteringspligten på grundlag af de tilgængelige oplysninger. Hvis hændelsen fortsætter, registreringssystemet er utilgængeligt, eller hændelsen stammer fra en leverandør, skal den forberedte reservekanal anvendes uden at afvente en afsluttende rapport. I en koncern med flere selskaber skal de berørte tjenester, den relevante juridiske enhed og bemyndigelsen til at handle på de enkelte enheders vegne fastlægges særskilt.

Frem mod 72-timersfasen supplerer organisationen vurderingen af hændelsens karakter og alvor, dens påvirkning, tilgængelige indikatorer på kompromittering samt afværgeforanstaltningerne — i det omfang det følger af de aktuelt gældende regler og formularer. Hvis senere undersøgelser ændrer hændelsens omfang, årsag eller klassifikation, skal den tidligere information korrigeres kontrolleret og ikke blot erstattes uden revisionsspor. Inden proceduren implementeres, skal organisationen derfor kontrollere, hvilken myndighed eller hændelseshåndteringsenhed der er relevant for den pågældende enhedskategori, hvilken rapporteringskanal der skal anvendes, hvordan fristerne beregnes, og hvilke krav der gælder for opdateringer og efterfølgende rapportering. Anvendelsesområdet beskrives mere udførligt i NIS2 for produktionsvirksomheder: hvem der er omfattet, hvilke pligter der indføres, og hvordan organisationen forberedes uden at reducere emnet til it.

Informationsflowet bør baseres på ét samlet hændelsesregister med tidslinje, successive versioner af vurderingen, datakilder, beslutninger og begrundelser, meddelelsestekster samt dokumentation for indsendelsen. E-mail og beskedtjenester kan bruges til alarmering, men bør ikke skabe parallelle versioner af hændelsesbeskrivelsen. Processens beredskab bør måles på tiden fra signal til registrering, eskalation, beslutning og indsendelse, andelen af poster med angivet kilde samt muligheden for at rekonstruere, hvem der ændrede hændelsesvurderingen og på hvilket grundlag.

Roller, stedfortrædere og beslutningstærskler

Rapporteringsprocessen kræver en klar adskillelse af opgaver, ansvar og beføjelser. Den person, der opdager begivenheden, registrerer den og starter eskalationen. Hændelseskoordinatoren vedligeholder tidslinjen og informationsflowet, mens den tekniske specialist vurderer hændelsens karakter og sikrer data. Tjeneste- eller procesejeren fastlægger den operationelle påvirkning, en person med juridisk kompetence vurderer oplysningspligten, den godkendende rolle træffer beslutning om rapportering, og en bemyndiget medarbejder foretager indsendelsen og opbevarer dokumentationen. Én person kan varetage flere roller, hvis det ikke udvisker beslutningskompetencen eller skaber et enkelt kritisk afhængighedspunkt.

En ansvarsmatrix er først operationelt anvendelig, når den ud over stillingsbetegnelsen angiver opgavens omfang, den krævede reaktionstid, beslutningskompetencen, stedfortræderen og det forventede udførelsesbevis. Den bør også fastlægge, hvem der kan træffe beslutning på et ufuldstændigt informationsgrundlag, og hvordan konflikter mellem produktionskontinuitet, sikkerhed og rapporteringspligt håndteres. Ledelsen godkender reaktionsmodellen, eskalationstærsklerne og de tilgængelige ressourcer. Hele beslutningsrisikoen kan ikke lægges over på systemadministratoren eller kvalitetskoordinatoren, som normalt ikke har mandat til at afgøre de forretningsmæssige og juridiske konsekvenser.

Det er ikke nødvendigvis et ledelsesmedlem, der skal godkende hver rapportering, hvis den interne kompetencemodel indeholder en passende fuldmagt eller bemyndigelse, som er i overensstemmelse med kravene til den pågældende enhed og rapporteringskanal. Stedfortræderordningen kræver navngivning af den næste person, kontaktoplysninger til brug døgnet rundt og en regel for overtagelse af sagen, når den fastsatte kontaktfrist er udløbet uden resultat. Stedfortræderen skal reelt have adgang til registeret, formularen, postkassen, nødvendige elektroniske signaturer og reservekanalen. En formulering i proceduren uden tildelte adgangsrettigheder sikrer ikke driftskontinuitet.

Hvis en hændelse indtræffer om natten, bør koordinatoren ikke vente på ubestemt tid på den godkendende person. Når den interne kontaktfrist udløber, kontaktes stedfortræderen og derefter den person, der er bemyndiget til at træffe en nødafgørelse. Interne frister bør fastsættes væsentligt kortere end de eksterne frister, så der er reserve til datakontrol, juridisk klassifikation, godkendelse, tekniske problemer og dokumentation af indsendelsen. Tiderne fra opdagelse til eskalation, beslutning og indsendelse skal måles under øvelserne.

Modellen kræver finansiering af vagtordninger, adgangsrettigheder, uddannelse og værktøjer og bør derfor indgå i planlægningen beskrevet i Hvad koster implementering af NIS2 og uKSC – sådan opbygges et budget til audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden dyre fejl. Én beslutningstager eller én person med de nødvendige rettigheder er kun en tilsyneladende besparelse: Under en hændelse bliver organisatorisk fravær en direkte årsag til formel forsinkelse.

En øvelse, der viser det reelle beredskab

Beredskabet til at rapportere en hændelse dokumenteres ikke ved kendskab til proceduren, men ved evnen til at gennemføre den under tidspres og med ufuldstændige oplysninger. Øvelsesscenariet bør baseres på gradvis frigivelse af information. Det første signal kan være tvetydigt, dele af systemerne og dokumentationen kan være utilgængelige, leverandøren kan reagere forsinket, og den operationelle påvirkning kan vokse i takt med nye oplysninger. Denne opbygning viser, om organisationen kan starte eskalationen uden at afvente en fuldstændig teknisk analyse.

Øvelsen bør gennemføres efter en realistisk tidslinje med registrering af tidspunktet for modtagelse og registrering af signalet, overdragelsen til koordinatoren, indkaldelsen af teamet, den foreløbige klassifikation, udarbejdelsen af teksten, godkendelsen og forsøget på indsendelse. Testen bør ikke medføre en faktisk rapportering, medmindre der på forhånd er aftalt et sikkert testmiljø og en metode til tydelig mærkning af testdata. Eksterne parters deltagelse kræver en særskilt beslutning. En leverandør bør inddrages, når leverandørens oplysninger, adgang eller handling er nødvendig for at klassificere hændelsen. Ledelsen bør som minimum deltage i et scenarie, der kræver en forretningsmæssig beslutning, accept af risiko eller aktivering af stedfortræderordningen.

Et eksempel på et forløb kan begynde med en melding om langsom drift i produktionssystemet. Herefter oplyser øvelseslederen, at der ikke er adgang til hændelsesregisteret, at den godkendende person er utilgængelig, at oplysningerne om antallet af berørte processer er modstridende, og at leverandøren ikke svarer. Observatørerne vejleder ikke teamet, men registrerer de faktiske tider og beviser. De vurderer, hvor hurtigt signalet når koordinatoren, om stedfortræderne er tilgængelige, hvor mange ansvarsområder der er uafklarede, om tidslinjen er komplet, om der er uoverensstemmelser mellem kilderne, og om reservekanalen kan anvendes. De noterer desuden roller uden stedfortræder, manglende rettigheder og forældede kontaktoplysninger.

Evalueringen må ikke begrænses til, om den simulerede rapportering blev udarbejdet inden den interne frist. Det skal også kontrolleres, om deltagerne:

• adskilte bekræftede fakta fra antagelser,
• angav informationskilderne,
• dokumenterede grundlaget for klassifikationen,
• markerede oplysninger, der skulle suppleres senere,
• aktiverede stedfortræderne efter de fastlagte regler,
• kunne anvende den alternative rapporteringskanal.

Et vigtigt resultat er også, hvordan teamet handler under usikkerhed. Det bør hverken automatisk klassificere enhver driftsforstyrrelse som en rapporteringspligtig hændelse eller standse eskalationen, indtil den fulde tekniske analyse er afsluttet.

Øvelsen afsluttes med en plan for korrigerende handlinger, ikke kun med en protokol. Hver konstateret mangel kræver en ansvarlig ejer, en frist, et målbart effektivitetskriterium og en angivelse af, hvad der skal testes igen. Organisationen bør overvåge andelen af handlinger, der er afsluttet og effektivt verificeret inden for den fastsatte frist. Hyppigheden af efterfølgende øvelser og ændringer i scenariet fastlægges ud fra risikoen, resultaterne af den seneste test og organisatoriske ændringer. Nye roller, leverandører, systemer, rapporteringskanaler eller væsentlige mangler er særlige grunde til en ekstra øvelse. Disse forhold bør koordineres med tidsplanen beskrevet i Implementering af NIS2 efter optagelse i KSC-registeret – handlingsplan frem til den 3. april 2027.

Minimumsstandard for ledelsesmæssigt beredskab

Ledelsen kan først betragte hændelsesrapporteringsprocessen som funktionsdygtig, når hele den organisatoriske model er godkendt. Den omfatter en procedure, eskalationskriterier, en ajourført kontaktliste, tildelte roller og stedfortrædere, adgang til den primære og alternative rapporteringskanal, meddelelsesskabeloner, ét samlet hændelsesregister, regler for sikring og opbevaring af beviser samt en gennemført øvelse. Manglen på blot ét af disse elementer bør vurderes som en operationel risiko og ikke som en redaktionel mangel i dokumentationen.

Dokumentation for beredskab er ikke antallet af godkendte dokumenter, men et sammenhængende revisionsspor: fra opdagelse af begivenheden via klassifikation og beslutning til udarbejdelse og indsendelse af rapporteringen. Sporet bør vise tidspunkter, informationskilder, beslutningstagere, klassifikationsgrundlag og den tekst, der blev sendt til den relevante modtager. Organisationen skal også kunne dokumentere, at den kan handle, når nøglepersoner er fraværende, primære systemer svigter, eller adgangen til data er begrænset.

Efter øvelsen er der behov for en ledelsesevaluering, som omsætter resultaterne til beslutninger før audit eller kontrol. Procesejeren kan inden for sine beføjelser forbedre instruktionen, registeret eller kontaktlisten. Ledelsen bør derimod tage stilling til mangler, der kræver accept af restrisiko, finansiering af ændringer, yderligere ressourcer eller ændret ansvarsplacering. Hver handling skal have en ejer, en frist og en dato for fornyet verifikation af effektiviteten.

Hændelsesrapporteringen skal forankres i den bredere implementeringsplan, og frister og krav skal hver gang kontrolleres for aktualitet. Ved modenhedsvurderingen bør organisationen også inddrage spørgsmålet NIS2 og DS/EN ISO 27001: hvad certifikatet bidrager med, og hvad der fortsat mangler for overensstemmelse med KSC. Organisationen er først reelt klar, når den kan træffe, gennemføre og dokumentere den korrekte beslutning inden for begrænset tid og på et ufuldstændigt informationsgrundlag.