NIS2 och SS-EN ISO 27001: vad certifikatet täcker – och vad som återstår för KSC-efterlevnad

I många verksamheter börjar diskussionen om NIS2 med frågan om SS-EN ISO 27001-certifiering. Det är förståeligt, men ur ledningens och processägarens perspektiv är utgångspunkten fel. Först måste organisationen fastställa om den omfattas av kraven, vilka tjänster och tillgångar som berörs samt vem som ansvarar för dem. Därefter går det att göra en välgrundad bedömning av vad det befintliga ledningssystemet för informationssäkerhet faktiskt täcker och vad som fortfarande saknas för efterlevnad av KSC. Det är i praktiken här skillnaden avgörs mellan ett fungerande system och en kostsam illusion av beredskap.

Det dyraste misstaget: att likställa certifiering med regelefterlevnad

Det största inledande misstaget är inte att sakna ett SS-EN ISO 27001-certifikat, utan att utgå från att certifikatet i sig bekräftar efterlevnad av skyldigheterna enligt NIS2 och de nationella bestämmelser som införs genom KSC. Ledningens centrala fråga bör inte vara ”har vi SS-EN ISO 27001?”, utan ”omfattas vi av kraven, i vilken egenskap och för vilka tjänster, processer och tillgångar?”. Först när organisationens status, den berörda verksamhetens omfattning och ledningens ansvar har fastställts går det att bedöma hur väl det befintliga systemet stödjer efterlevnaden – och var det endast skapar ett intryck av kontroll.

Skillnaden får direkta konsekvenser för projektets utformning och budget. Ett certifikat visar att ledningssystemet uppfyller standardens krav inom ett angivet certifieringsomfång, normalt beskrivet på certifikatet och närmare preciserat i tillämplighetsförklaringen. Det ersätter däremot inte analysen av lagstadgade skyldigheter, identifieringen av berörda tjänster, bedömningen av leverantörsberoenden eller fastställandet av vilka formella åtgärder organisationen måste vidta som reglerad verksamhet. Ledningen behöver därför hålla isär tre områden som ofta blandas samman: ledningssystemet, regelefterlevnaden och den operativa förmågan att agera under pågående incident.

De dyraste projekten är ofta de som genomförs i omvänd ordning. Organisationen börjar med att ordna dokumentation och styråtgärder inför certifieringsrevisionen och upptäcker först senare att kritiska processer, incidentrapporteringskrav, leverantörskrav, ledningsansvar eller sektorsspecifika krav ligger utanför omfattningen. Då räcker det inte att komplettera några rutiner. Systemets omfattning, beslutsroller och incidenthantering måste göras om.

Ur ett operativt perspektiv bör organisationen därför inte enbart följa upp om ett certifikat finns, utan även tre mer relevanta förhållanden: hur väl certifieringsomfånget motsvarar de kritiska tjänsterna, resultatet av självbedömningen av om verksamheten omfattas av KSC samt antalet gap mellan fastställda rutiner och faktisk handlingsförmåga. Det naturliga första steget är därför inte mer dokumentation, utan att fastställa om organisationen omfattas av kraven och vilka formella åtgärder som krävs. Denna ordningsföljd behandlas även i NIS2: självbedömning och registrering i KSC-förteckningen – vad måste ett tillverkningsföretag göra?. Det är där det avgörs om systemet utformas utifrån faktiska skyldigheter eller utifrån en bekväm men kostsam illusion av beredskap.

Vad SS-EN ISO 27001 faktiskt täcker i praktiken

Det största praktiska värdet med SS-EN ISO 27001 ligger inte i certifikatet som sådant, utan i att ett väl implementerat system gör informationssäkerheten till en styrd ledningsfråga. Standarden ger särskilt starkt stöd där verksamheten behöver arbeta processbaserat: riskbedömning och riskbehandling, policyer och styrprinciper, tilldelning av roller och ansvar, identifiering av informationstillgångar, incidenthantering, kontinuitet samt uppföljning och förbättring. När dessa delar fungerar i den dagliga verksamheten – och inte bara inför revision – får organisationen en stabil grund för att visa att informationssäkerheten inte består av fristående skyddsåtgärder, utan av ett styrt system kopplat till operativa beslut.

Ledningen bör dock inte bedöma certifikatet isolerat, utan dess relevans för de tjänster, processer och beroenden som har regulatorisk betydelse. Samma certifikat kan avse ett moget system som omfattar kritiska processer, regelbundna uppföljningar, korrigerande åtgärder och aktiv styrning från processägarna – eller ett smalt system som endast täcker en begränsad del av organisationen. Inför en självbedömning mot NIS2 och KSC bör organisationen därför granska mer än tillämplighetsförklaringen. Även processerna i riskbedömningen, resultaten från interna revisioner, slutsatserna från ledningens genomgång och sambandet mellan riskbeslut, budget, avtal, tjänstearkitektur och incidenthantering behöver bedömas.

Detta blir särskilt tydligt i leveranskedjor. SS-EN ISO 27001 skapar normalt struktur för avtalskrav, informationsklassning, åtkomstregler, leverantörsansvar och dokumenterade avvikelser. Det är en värdefull grund, särskilt när kunder kräver bevis på styrning av externa parter. Certifikatet avgör dock inte automatiskt om alla branschkrav eller sektorsspecifika kriterier är uppfyllda. Samma typ av avvägning behandlas i SS-EN ISO 27001 eller TISAX – vad bör väljas när kunden ställer krav på informationssäkerhet i leveranskedjan? I praktiken skapar certifieringen struktur för relationer och ansvar, men den ersätter inte kontrollen av vilka krav som behöver införas i avtal, eskaleringsrutiner och styrningen av externa tjänster.

Slutsatsen är tydlig: certifikatet kan avsevärt förkorta vägen till en strukturerad informationssäkerhet, men utgör inte ett fristående bevis på att skyldigheterna enligt KSC är uppfyllda. Certifieringsrevisionen bedömer om ledningssystemet uppfyller standardens krav inom ett fastställt omfång. Det är inte samma sak som att bedöma samtliga lagstadgade skyldigheter eller den operativa beredskapen. Organisationen behöver därför parallellt kontrollera om systemet omfattar relevanta processer, om riskbedömningen har uppdaterats utifrån faktiska tjänster och beroenden samt om rutinerna för incidenthantering, kontinuitet och leverantörsstyrning fungerar i praktiken.

Var certifikatet inte räcker

Det första gapet gäller själva regelefterlevnaden. Ett ledningssystem för informationssäkerhet skapar ordning i principer, roller och styrning, men avgör inte i sig om organisationen har klassificerats korrekt enligt KSC, vem som ansvarar för formella anmälningar, vem som upprätthåller kontakten med behörig myndighet eller hur beslut eskaleras till ledningen. Detta är inte en fråga om ett enstaka dokument som saknas, utan om brister i ansvarskonstruktionen. Om dessa delar inte integreras i bolagets faktiska verksamhetsmodell ger certifikatet intern struktur men ännu inte tillräcklig regulatorisk styrförmåga.

Det andra gapet gäller omfattningen. Många organisationer har en certifiering som är begränsad till en viss anläggning, ett bolag, en funktion eller en del av stödtjänsterna. En bedömning av beredskapen enligt KSC måste däremot utgå från den faktiska kartan över tjänster, kritiska processer, tillgångar och beroenden – inte från certifieringsrevisionens gränser. Om en väsentlig eller viktig tjänst levereras av flera bolag inom en koncern, med stöd av ett externt datacenter, en gemensam driftfunktion eller en distribuerad incidentprocess, kan ett formellt korrekt certifikat ändå endast täcka en del av helheten. Ledningens beslut handlar då inte bara om att utöka certifieringsomfånget, utan om att avgöra om ett integrerat efterlevnadsprogram ska etableras eller om certifiering och regulatorisk efterlevnad ska drivas som två parallella arbetsströmmar.

Det tredje gapet gäller verifierbara bevis och blir ofta synligt först vid en incident, en övning eller en tillsyn. Organisationen kan ha rutiner för incidenthantering, kontinuitet och leverantörsstyrning utan att kunna visa att de fungerar operativt. Incidentregister, dokumenterade ledningsbeslut, övningsresultat, efteranalyser, effektivitetsmått eller dokumenterade korrigerande åtgärder kan saknas. Systemet är då beskrivet men inte verifierat. Det är ofta här de dyraste korrigeringarna uppstår, eftersom både rutinerna, rapporteringen till ledningen, uppföljningsfrekvensen och processägarnas ansvar behöver ändras. Samma mekanism återkommer i andra ledningssystem, bland annat i IATF 16949 – vilka krav är mest utmanande i det dagliga kvalitetsarbetet och hur hanteras de utan skenbar efterlevnad?

Det fjärde gapet gäller leveranskedjan och externa beroenden. Standarden hjälper organisationen att strukturera leverantörskraven, men KSC-efterlevnad kan kräva en mer detaljerad kartläggning: vilka externa tjänster som upprätthåller den kritiska tjänsten, var enskilda felpunkter finns, vilka störningsscenarier som är relevanta och hur leverantörer, personal eller platser kan ersättas. I praktiken bör organisationen därför inte enbart mäta om avtal och leverantörsbedömningar finns. Mer relevanta mått är hur väl certifieringsomfånget överensstämmer med den faktiska kartan över kritiska tjänster, hur komplett dokumentationen av incidenter och övningar är samt hur aktuella genomgångarna av leverantörer och beroenden är. Först då går det att avgöra om verksamheten har ett fungerande system eller bara en formellt korrekt bild av ett sådant.

Efterlevnadsprogrammet ska utgå från tjänsterna – inte dokumenten

Ett vanligt inledande misstag är att börja projektet med en genomgång av policyer, rutiner och dokumenterade uppgifter från SS-EN ISO 27001 i stället för att först identifiera vilka tjänster som måste upprätthållas och vilka regulatoriska skyldigheter som är knutna till dem. Rätt ordningsföljd är den motsatta: identifiera först de tjänster, processer, tillgångar och beroenden som är kritiska för kontinuiteten och ansvaret enligt KSC. Koppla därefter systemkrav och beviskrav till dessa. Endast då går det att skilja nödvändig dokumentation från dokumentation som inte tillför styrning eller verifierbarhet.

För ledningen innebär detta ett beslut om att ta fram en karta över kritiska tjänster, beroenden till leverantörer och system samt en förteckning över befintliga rutiner som kan återanvändas utan att styrmekanismer dubbleras. Först på den grunden blir det tydligt om det befintliga systemet omfattar det som verkligen är relevant för tjänstens kontinuitet och regelefterlevnaden, eller endast det som historiskt har ingått i certifieringsomfånget.

Nästa steg gäller ansvarsmodellen. Om informationssäkerhetsansvaret är fördelat mellan IT, kvalitet, regelefterlevnad, underhåll och inköp utan tydliga roller utvecklas projektet snabbt till en samling lokala initiativ. Organisationen behöver därför fastställa vem som äger respektive risk, vem som leder incidenthanteringen, vem som styr leverantörsrelationerna, vem som fattar ledningsbeslut och vem som ansvarar för att bevis på efterlevnad bevaras. En enkel ansvarsmatris och en gemensam struktur för ledningens uppföljning fungerar ofta bättre än flera parallella rapporteringsvägar. Här bör organisationen även besluta om en gemensam styrgrupp ska ansvara för både regelefterlevnad och informationssäkerhet samt om operativ teknik ska ingå i samma riskmodell.

Denna logik är särskilt viktig i tillverkande organisationer och verksamheter med flera anläggningar. Där begränsas en incident inte till förlorad konfidentialitet. Den kan även stoppa en produktionslinje, störa planeringen, bryta spårbarheten för ett parti eller slå ut förmågan att leverera en tjänst. Informationssäkerheten behöver därför kopplas till operativ kontinuitet, underhåll och OT-miljöer. Om ledningssystemet enbart omfattar kontorsmiljön och förbiser styrsystem, fjärrservice, beroenden till integratörer eller lokala reservrutiner blir riskbilden formellt strukturerad men operativt ofullständig. Samma projektdisciplin återkommer inom andra områden med höga styrkrav, även där referenser som ASME, NQA-1 och ISO 19443 – tre förkortningar som en leverantör till kärnkraftssektorn måste känna till förekommer.

Först på denna grund bör organisationen använda det befintliga SS-EN ISO 27001-systemet som bas och genomföra en separat gapanalys mot KSC. Syftet är inte att ifrågasätta certifikatet, utan att identifiera var systemet ger faktisk täckning och var ytterligare rutiner, register, eskaleringsvägar eller operativa bevis behövs. Ett sådant arbetssätt begränsar onödig dokumentation och ger bättre kontroll över mekanismernas samstämmighet än separata implementeringsprojekt som konkurrerar med varandra.

Så verifieras nuläget inför revision eller tillsyn

Inför en revision, självbedömning eller tillsyn bör frågan inte vara om organisationen ”har SS-EN ISO 27001”, utan om den kan visa faktisk handlingsberedskap och spårbara beslut. Beredskapen bör bedömas i fyra lager: först omfattningen och tillämpliga skyldigheter, därefter ledningssystemets utformning, sedan processernas faktiska effektivitet och slutligen bevisens fullständighet. Med denna struktur går det att skilja dokumentationsordning från operativ förmåga.

De mest användbara frågorna är därför inte om en rutin finns, utan när den ska aktiveras, vem som fattar beslutet, vilka eskaleringströsklar som gäller, hur beslutet ska verifieras i efterhand och om scenariot har övats. Om incidenthanteringen är beroende av en enda persons kunskap, leverantörsrelationerna saknar fastställda säkerhetskriterier och ledningen endast får övergripande rapporter utan beslut och tidsfrister, kan systemet vara formellt förenligt med sin egen beskrivning men ändå sakna tillräcklig beredskap under press.

Beredskapsgranskningen bör därför omfatta gränssnitten mellan ledning, operativ verksamhet, IT, underhåll och leverantörer. Det är ofta där de luckor som inte syns i rutindokumenten blir tydliga. En gapanalys med upplägg som en operativ revision är vanligtvis mest ändamålsenlig. Då bedöms inte bara dokumentens innehåll, utan även beslutsflöden, eskaleringsvägar, incidentloggar, test- och övningsresultat samt register över avvikelser, observationer och korrigerande åtgärder.

Ett enkelt scenario ger ofta en tydlig bild: en incident inträffar hos en kritisk leverantör eller en störning uppstår i produktionsmiljön. Organisationen måste då kunna ange vem som klassificerar händelsen, vem som initierar kommunikationen, vem som bedömer påverkan på tjänsten och vilka bevis som dokumenterar besluten. Om svaren är utspridda och verksamheten hänvisar till en ”praxis” som inte går att återskapa genom dokumenterade uppgifter är beredskapen skenbar, även om ledningssystemet i övrigt är väl underhållet.

Om organisationen redan genomför interna SS-EN ISO 27001-revisioner kan de användas som struktur för denna verifiering. Revisionskriterierna behöver dock kompletteras med regulatoriska skyldigheter och de bevis som förväntas ur ett KSC-perspektiv. Revisionskompetens är värdefull i detta arbete, liksom den kompetens som utvecklas av personer som förbereder sig för rollen som revisionsledare eller internrevisor. Ett relevant referensmaterial är Revisionsledare för SS-EN ISO 27001: en heltäckande guide till certifiering och standardens krav. Ordningsföljden måste ändå vara rätt: revisionskompetens hjälper organisationen att bedöma systemet, men ersätter inte analysen av vilka rättsliga och organisatoriska skyldigheter som faktiskt gäller för verksamheten.

Ledningens beslut: certifikatet som grund, inte som alibi

Det mest rationella förhållningssättet är att använda SS-EN ISO 27001 som grund för strukturerad styrning, inte som ett fristående bevis på att samtliga skyldigheter enligt NIS2 och KSC är uppfyllda. Certifieringen skapar struktur för ansvar, riskbedömning, incidentstyrning, revision och förbättring, men den befriar inte organisationen från att fastställa vilka skyldigheter som gäller, vilket omfång de har och vilka bevis som krävs för att visa att arbetssätten är effektiva.

Den största risken för ledningen är inte bristande dokumentation, utan en falsk känsla av beredskap: antagandet att ett certifierat system automatiskt innebär att organisationen är redo att uppfylla kraven i den nationella rättsordningen. Beslutet bör därför inte begränsas till om certifieringen ska behållas eller utökas. Tre ledningsfrågor behöver först avgöras:

• bekräfta organisationens status och skyldigheternas omfattning,
• genomföra en gapanalys mellan det befintliga systemet och KSC-kraven,
• fastställa en modell för styrning av åtgärder och bevis på effektivitet.

Först därefter går det att avgöra om certifieringsomfånget behöver utökas eller om det befintliga SS-EN ISO 27001-systemet kan behållas och kompletteras med de organisatoriska, rättsliga och operativa mekanismer som saknas. Tre enkla styrverktyg är särskilt användbara: en jämförelse mellan det aktuella certifieringsomfånget och kartan över kritiska processer, en gaplista där påverkan på risk och regelefterlevnad bedöms samt en åtgärdsplan med utsedda ansvariga, tidsfrister och avslutskriterier.

Om organisationen fortfarande väljer angreppssätt finns ingen universell ordningsföljd. Där kundtrycket eller upphandlingskraven är starka kan det vara motiverat att först bygga ett system för certifiering, förutsatt att analysen av regulatoriska skyldigheter genomförs parallellt och inte skjuts upp. I verksamheter med hög operativ risk eller splittrat ansvar kan det vara mer ändamålsenligt att först stänga de regulatoriska gapen och därefter strukturera certifieringsomfånget. Det handlar inte om ordningen mellan formaliteter, utan om i vilken ordning riskerna reduceras. Även ISO-certifikat: fördelar och implementeringsprocess bör därför ses som en del av ett större beslut om hur organisationen styr sin regelefterlevnad, inte som en fristående aktivitet.

Bäst resultat uppnås genom ett sammanhållet program där informationssäkerhet, kontinuitet, leverantörsstyrning och regulatoriska skyldigheter hanteras som delar av verksamhetsmodellen, inte som separata initiativ i olika funktioner. I polska verksamheter är just fragmenterat ansvar ofta en avgörande orsak till svag operativ förmåga och bristande verifierbarhet. Slutsatsen är enkel: certifikatet är värdefullt och kan avsevärt förkorta vägen till ett strukturerat system, men efterlevnaden måste fortfarande utformas, implementeras och styrkas med bevis under de förutsättningar som gäller för NIS2 och KSC.