NIS2 og forsyningskædesikkerhed: Sådan vurderer I IT-leverandører, integratorer og underleverandører

Forsyningskædesikkerhed begynder ikke med at sende det samme spørgeskema til alle leverandører. Først skal organisationen fastlægge, hvilke leverandører dens processer afhænger af, hvilken adgang de har, og hvilke konsekvenser utilgængelighed, en sikkerhedshændelse eller en forsinket reaktion kan få. På det grundlag kan man fastlægge vurderingens omfang, den krævede dokumentation, kontraktvilkårene og den løbende opfølgning. Ellers kontrollerer organisationen blot, om dokumenterne formelt er udfyldt, frem for den reelle risiko forbundet med IT-tjenester, integratorer og underleverandører.

Leverandøren som en del af organisationens robusthed

Leverandørrisiko skyldes ikke kun sårbarheder i leverandørens systemer eller niveauet af tekniske sikkerhedsforanstaltninger. Risikoen opstår især, når en ekstern tjeneste, medarbejder, softwareløsning eller infrastruktur er afgørende for kontinuiteten i organisationens processer. Tilsynets omfang bør derfor ikke bestemmes af kontraktværdien, leverandørens størrelse eller blot typen af den indkøbte ydelse. Det bør baseres på konsekvenserne af utilgængelighed, brud på fortroligheden, tab af dataintegritet eller forsinket håndtering af en hændelse.

Processen bør begynde med en klar ansvarsfordeling. Procesejeren identificerer afhængigheden og vurderer dens driftsmæssige betydning. Informationssikkerhedsfunktionen vurderer eksponeringen, indkøb indarbejder kravene i udvælgelseskriterier og kontrakter, mens IT verificerer adgangens omfang og de tekniske løsninger. Det skal desuden være fastlagt, hvem der klassificerer risikoen, godkender afvigelser fra kravene, følger op på kontraktens opfyldelse og koordinerer samarbejdet under en hændelse. Uden denne ansvarsfordeling bliver leverandørspørgeskemaet et dokument uden ejer, og risikoen fordeles uklart mellem organisationens funktioner.

En mindre integrator med privilegeret fjernadgang til produktionsmiljøet kan udgøre en større eksponering end en stor leverandør af kontorydelser, selv om kontraktværdien er væsentligt lavere. Driftsforstyrrelser, kompromittering af en teknisk konto eller manglende tilgængelighed hos integratorens medarbejdere kan standse produktionen eller gøre genetableringen vanskeligere. Den udvidede vurdering bør derfor først og fremmest omfatte leverandører, som understøtter kritiske processer, har fjernadgang eller privilegeret adgang, behandler væsentlige oplysninger eller deltager i hændelseshåndtering og genetablering af driften.

Først når disse afhængigheder er kortlagt, kan processen kobles meningsfuldt til NIS2-kravene om risikostyring, forsyningskædesikkerhed og ledelsesansvar under hensyntagen til anvendelsesområdet i den relevante nationale lovgivning. Ledelsen skal ikke overtage den tekniske vurdering. Den bør derimod godkende principperne for leverandørklassifikation, placeringen af risikoejerskab og proceduren for godkendelse af afvigelser. Relevante målepunkter kan være antallet af kritiske processer, der afhænger af eksterne tjenester, samt antallet af leverandører med privilegeret adgang eller fjernadgang. Den bredere ledelsesmæssige sammenhæng er beskrevet i NIS2 i ledelsespraksis: Sådan omsættes krav til beslutninger, ansvar og reel organisatorisk robusthed.

Segmentering efter konsekvens og adgang

Et ensartet spørgeskema til alle leverandører giver ikke en vurdering, der står mål med risikoen. Segmenteringen bør kombinere konsekvensen af tjenestens utilgængelighed, typen af behandlede oplysninger, rettighedsniveauet, risikoen for at en hændelse spreder sig til organisationens eget miljø samt leverandørens erstattelighed. Klassifikationen bør blandt andet tage udgangspunkt i den tid, processen ifølge forretningskonsekvensanalysen kan fungere uden den pågældende tjeneste, og i antallet af afhængige processer og lokationer. Kontraktværdi og leverandørstørrelse kan indgå som støtteparametre, men de beskriver ikke de tekniske afhængigheder, den acceptable nedetid eller omkostningen ved en sikker udskiftning af tjenesten.

Tærsklerne for basisvurdering, udvidet vurdering og audit bør knyttes til målbare kriterier. En audit kan være relevant, hvis leverandørens svigt medfører, at den maksimalt acceptable afbrydelsestid overskrides, hvis leverandøren har privilegeret adgang, eller hvis tjenesten ikke kan erstattes uden væsentlige tekniske ændringer. En udvidet vurdering er relevant ved begrænset adgang, behandling af beskyttelseskrævende oplysninger eller afhængigheder længere nede i leverandørkæden. Øvrige leverandører kan omfattes af en basisvurdering, forudsat at de ikke samlet skaber en væsentlig koncentrationsrisiko.

Ved vurdering af en leverandør af et HR-system bør der især fokuseres på informationsklassifikation, adgangsrettigheder og genetablering af data. En automationsintegrator bør primært vurderes med hensyn til fjernadgang, konfigurationsændringer og evnen til at yde støtte efter en hændelse. En underleverandør, der servicerer udstyr, har måske ingen systemadgang, men utilgængelighed kan stadig standse processen på grund af manglende reservedele, kompetencer eller dokumentation. Samspillet mellem IT-systemer, operationel teknologi og produktionskontinuitet behandles nærmere i NIS2 for produktionsvirksomheder: Hvem er omfattet, hvilke forpligtelser følger, og hvordan forberedes organisationen uden at reducere emnet til IT.

Klassifikationen må ikke forblive uændret gennem hele samarbejdsperioden. Den bør revurderes efter ændringer i tjenestens omfang, adgang, arkitektur, underleverandører, behandlede oplysninger eller processens betydning. Den bør desuden bekræftes periodisk, selv om kontraktvilkårene ikke er ændret. Dermed kan due diligence-niveauet tilpasses den faktiske eksponering, og organisationen kan dokumentere, at styringen af forsyningskæden bygger på en konsekvensvurdering frem for en rent formel opdeling af leverandører.

Dokumentation frem for erklæringer

Leverandørvurderingen bør undersøge, hvordan kontrollerne udføres i praksis, ikke blot om politikker og procedurer findes. Spørgsmålene bør omfatte styring af adgang, sårbarheder og ændringer, sikkerhedskopiering, hændelsesovervågning, hændelseshåndtering, driftskontinuitet, personalesikkerhed og styring af underleverandører. Svaret »vi har implementeret en procedure« er utilstrækkeligt, hvis det ikke angiver aktivitetens ejer, kontrolhyppigheden, hvordan resultater dokumenteres, og hvordan afvigelser håndteres. Generisk materiale, der ikke kan knyttes til den indkøbte tjeneste, lokationen eller leverancemiljøet, bør også betragtes som et advarselssignal.

Der bør fastlægges et minimumskatalog over dokumentation for hver leverandørklasse, inden vurderingen påbegyndes. Ved lavere risiko kan svar fra den ansvarlige procesejer, understøttet af aktuelle dokumenter og eksempler på registreringer, være tilstrækkelige. I takt med stigende kritikalitet bør organisationen kræve testresultater, driftsregistreringer, målepunkter for kontrollernes udførelse og uafhængige vurderinger. For kritiske tjenester kan et teknisk interview, en fjernvurdering eller en audit på stedet være relevant. Metoden bør blandt andet vælges ud fra, om sikkerhedsforanstaltningerne kan verificeres uden adgang til infrastrukturen, og hvilke konsekvenser en ukorrekt erklæring kan få. Det er relevant at registrere dato og resultat for den seneste genetableringstest af en væsentlig tjeneste samt afhjælpningstider for sårbarheder efter leverandørens definerede kritikalitetsniveauer.

En erklæring om, at der udføres sikkerhedskopiering, illustrerer tydeligt forskellen mellem en påstand og dokumentation. Erklæringen viser ikke, om kopierne er adskilt fra produktionsmiljøet, hvem der kan slette dem, hvor ofte genetablering testes, eller hvad resultatet af den seneste test var. Den fastlægger heller ikke, hvem der er ansvarlig for at genetablere hele tjenesten: infrastrukturleverandøren, softwareproducenten, integratoren eller kunden. Relevant dokumentation omfatter derfor ikke kun en beskrivelse af principperne, men også registreringen fra den seneste test, omfanget af genetablerede data og funktioner, konstaterede afvigelser samt dokumentation for, at årsagerne til eventuelle fejl er fjernet. Et undvigende svar kan typisk kendes på manglende datoer, afgrænsning, ansvar eller mulighed for at knytte dokumentationen til den konkrete tjeneste.

Et ledelsessystemcertifikat er værdifuld supplerende dokumentation, men fritager ikke organisationen fra at gennemføre passende due diligence. Certifikatets anvendelsesområde, gyldighedsperiode, omfattede lokationer og tjenester skal kontrolleres og sammenholdes med det konkrete indkøb. En certificering af hovedkontoret omfatter ikke nødvendigvis datacentret, driftsteamet eller den underleverandør, der udfører en central del af tjenesten. Certifikatet kan indgå i en basisvurdering. Ved kritiske afhængigheder bør det dog suppleres med operationel dokumentation og ved væsentlige mangler også med en audit. Denne sammenhæng mellem sikkerhedsforanstaltninger og procesansvar beskrives også i TISAX for ledelsessystemansvarlige og kvalitetsingeniører – sådan integreres informationssikkerhed i virksomhedens processer. Sikkerhed bør ikke alene være et emne i IT-dokumentationen.

Kontrakten som styringsmekanisme

Kontrakten med en kritisk leverandør bør omsætte risikovurderingen til forpligtelser, som både kan efterleves og verificeres. En fortrolighedsklausul er ikke tilstrækkelig. Bestemmelserne bør omfatte rapportering af hændelser, adgang til de oplysninger, der er nødvendige for at vurdere konsekvenserne, leverandørens deltagelse i analyse og genetablering, opretholdelse af aftalte sikkerhedsforanstaltninger, ændringsstyring samt regler for brug af yderligere underleverandører. For den konkrete tjeneste bør der desuden aftales parametre for tilgængelighed, genetablering og opbevaring, som er afstemt med forretningsprocessens krav frem for alene med leverandørens standardiserede tjenestebeskrivelse.

Det er afgørende at udpege en ejer af forhandlingen om sikkerhedskrav og fastlægge grænserne for, hvem der kan acceptere kontraktmæssige afvigelser. Indkøb kan drive kontraktprocessen, men bør ikke alene beslutte, om ansvarsbegrænsninger, manglende auditadgang eller fri anvendelse af underleverandører er acceptable. Afhængigt af risikotypen bør sådanne afvigelser vurderes af procesejeren, informationssikkerhed, business continuity-funktionen og juridiske rådgivere. Hvis en dominerende leverandør ikke accepterer kundens vilkår, bør beslutningen ikke reduceres til en ubetinget accept af leverandørens standardkontrakt. Organisationen kan vurdere kompenserende kontroller, begrænse tjenestens omfang, styrke overvågningen eller formelt acceptere risikoen med en begrundelse og en navngiven risikoejer.

En klausul om underretning »uden unødig forsinkelse« har begrænset operationel værdi, hvis den ikke fastlægger rapporteringskanalen, oplysningernes minimumsindhold, kontaktpunkter og de personer, der er bemyndiget til at træffe beslutninger. Den aftalte underretningsfrist skal give organisationen en reel mulighed for at vurdere hændelsen og opfylde sine egne forpligtelser. Leverandøren bør som minimum oplyse, hvad der er sket, hvilke tjenester og data der er berørt, den kendte eller forventede påvirkning, iværksatte begrænsende tiltag og tidspunktet for næste statusopdatering. Kontrakten bør også regulere adgangen til tekniske logdata og relevante specialisters deltagelse i årsagsanalyse og genetablering.

På samme måde giver en formel auditret ikke i sig selv effektiv kontrol. Hvis kontrakten ikke angiver, hvornår auditretten kan anvendes, omfanget af adgang til dokumentation, reglerne for beskyttelse af fortrolige oplysninger, omkostningerne samt fristerne for at aftale og gennemføre korrigerende handlinger, kan bestemmelsen vise sig uanvendelig netop under en hændelse. Klausulernes omfang bør afhænge af leverandørens kritikalitet og muligheden for at erstatte tjenesten. Et omfattende kravkatalog, som ingen efterfølgende følger op på, skaber kun en illusion af kontrol og øger kontraktadministrationens omkostninger. Relevante målepunkter er antallet af afvigelser, der kræver formel risikoaccept, og graden af rettidig opfyldelse af leverandørens forpligtelser.

Omkostningerne ved kontraktændringer omfatter mere end juridisk bistand. De inkluderer fornyede leverandørvurderinger, forhandlinger, audit, overvågning af aftalte parametre og implementering af yderligere sikkerhedsforanstaltninger. Disse afhængigheder bør indgå i det budget, der beskrives i Hvad koster implementeringen af NIS2 og uKSC – sådan budgetteres audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden dyre fejldispositioner. Kontrakten fungerer først som et reelt styringsværktøj, når organisationen har udpeget en ansvarlig for opfølgningen, indsamler dokumentation for opfyldelsen og har fastlagt, hvordan ændring eller ophør af tjenesten håndteres.

Opfølgning efter kontraktindgåelsen

Den indledende vurdering mister hurtigt sin aktualitet, hvis tjenestens omfang, løsningsarkitekturen, leverandørens ejerforhold, behandlingslokationen, underleverandørerne eller adgangsniveauet til systemer og oplysninger ændres under samarbejdet. Opfølgningen bør derfor omfatte periodiske gennemgange med en frekvens, der afspejler tjenestens kritikalitet, samt vurderinger udløst af nærmere definerede hændelser. Leverandører med stor betydning for driftskontinuiteten kræver hyppigere kontrol end let erstattelige leverandører uden privilegeret adgang.

Overvågningscyklussen skal have en ejer, eskalationstærskler og krav til registreringer. Det er ikke tilstrækkeligt kun at kontrollere tjenestens leveranceparametre. Disse skal sammenholdes med oplysninger om hændelser, resultater af kontinuitets- og genetableringstest, status for korrigerende handlinger, ændringer hos underleverandører samt tegn på forringet operationel kapacitet hos leverandøren. En ekstraordinær revurdering bør blandt andet udløses af:

• væsentlige ændringer i tjenestens omfang eller adgang;
• flytning af databehandlingen;
• ændring af en underleverandør, der påvirker tjenestens levering;
• gentagne brud på tjenestens aftalte parametre;
• manglende lukning af afvigelser inden fristen;
• en hændelse, der indikerer utilstrækkelig reaktionsevne.

En leverandør, der blev vurderet positivt ved kontraktindgåelsen, kan et år senere anvende et nyt datacenter eller have overladt en del af tjenesten til en underleverandør. Navnet og det beskrevne leveranceomfang kan være uændret, mens de tekniske afhængigheder, behandlingsstedet, genetableringsmetoden og adgangen til dokumentation har ændret sig. Uden en mekanisme til rapportering af sådanne ændringer fører organisationen tilsyn med en historisk risikoprofil frem for den aktuelle. Relevante målepunkter er antallet af ændringer i omfang, adgang eller underleverandører, som kræver revurdering, antallet af hændelser og brud på tjenesteparametre samt andelen af korrigerende handlinger, der lukkes inden for den aftalte frist.

En konstateret afvigelse behøver ikke automatisk at medføre, at samarbejdet afsluttes. Beslutningen bør tage højde for afvigelsens påvirkning, den nødvendige afhjælpningstid, muligheden for at erstatte tjenesten og risikoen i overgangsperioden. Organisationen kan kræve korrigerende handlinger, etablere kompenserende kontroller, acceptere risikoen midlertidigt med en fastsat dato for ny vurdering, begrænse adgangens omfang eller aktivere en plan for udskiftning af leverandøren. Hver løsning kræver en beslutningsejer, en frist, et afslutningskriterium og dokumentation for effektiviteten – ikke blot for, at aktiviteten er udført.

Den samlede mekanismes effektivitet bør vurderes periodisk på grundlag af registreringer, beredskabsøvelser og organisationens evne til at træffe beslutninger, når risikoen ændrer sig. Et relevant udgangspunkt for planlægningen er NIS2-audit i en produktionsvirksomhed – sådan vurderes organisationens parathed til de nye forpligtelser. Audit bør ikke blot bekræfte, at der findes en plan for gennemgange, men også verificere, om advarselssignaler fører til eskalation, om afvigelser lukkes efter fastlagte kriterier, og om leverandørrisiko fortsat er koblet til kontinuiteten i organisationens processer.

Et leverandørvurderingsprogram, der er klar til audit

Et program for leverandørstyring er auditklart, når det fungerer som én sammenhængende beslutningsmekanisme frem for en samling af spørgeskemaer, klausuler og spredte registre. Programmet bør som minimum omfatte et leverandørregister med procesmæssige og tekniske afhængigheder, segmenteringskriterier, beslutningsroller, krav til de enkelte leverandørklasser, vurdering af dokumentation, kontraktprincipper, overvågning, eskalation og håndtering ved samarbejdets ophør. Auditprogrammet og risikoregistret bør anvende de samme klassifikationer, ejerroller og kriterier for risikoaccept.

Ved begrænsede ressourcer bør pilotgruppen udvælges blandt leverandører, der understøtter kritiske processer, har privilegeret adgang eller er vanskelige at erstatte. Omfanget kan derefter udvides i takt med risikoniveauet og resultaterne af de første vurderinger. Et forsøg på at omfatte hele leverandørbasen på én gang øger typisk den administrative byrde uden tilsvarende risikoreduktion. Ledelsen bør godkende rækkefølgen for vurderingerne, planen for lukning af mangler og budgettet samt træffe beslutning om risici, der ligger uden for de fastlagte operationelle beføjelser.

Ved audit er et sammenhængende beslutningsspor ofte mere overbevisende end en omfattende procedure: leverandørens klassifikation, begrundelsen for kravene, den vurderede dokumentation, relevante kontraktvilkår, registreringer fra overvågning og afvigelser samt formel risikoaccept eller beslutning om korrigerende handlinger. Paratheden kan måles som andelen af leverandører, der er klassificeret og vurderet inden for programmet, gennemførelsesgraden for planen vedrørende kritiske leverandører samt antallet af risici uden ejer, reaktionsfrist eller godkendt beslutning.

Det normative og juridiske grundlag bør afslutte procesdesignet, ikke erstatte dets logik. NIS2-kravene skal omsættes til ansvar, kriterier, registreringer og verificerbar dokumentation under hensyntagen til den relevante nationale gennemførelseslovgivning og dens anvendelse på organisationen. Et branchespecifikt eksempel på denne tilgang findes i ISO 19443 – adgangsbilletten til forsyningskæden i den polske atomindustri, hvor kvalificering og styring af leverandører bidrager direkte til organisationens evne til at opfylde sikkerhedskravene.