NIS2- og KSC-kontrol: dokumenter, registre og test skal udgøre et sammenhængende revisionsspor

En kontrol af efterlevelsen af NIS2 og KSC handler ikke kun om at fremlægge politikker og procedurer. Tilsynsmyndigheden kan undersøge, om organisationen har afgrænset sine forpligtelser korrekt, placeret ansvaret, implementeret relevante sikkerhedsforanstaltninger og kan dokumentere, at de fungerer ved hjælp af ajourførte registre, testresultater og ledelsesbeslutninger. Forberedelsen bør derfor følge en ubrudt dokumentationskæde: fra krav og risiko over den valgte foranstaltning til registrering af udførelsen, vurdering af effektiviteten og håndtering af afvigelser.

Kontrollen vurderer systemet – ikke ringbindet

Udgangspunktet er ikke antallet af politikker og procedurer, men en korrekt fastlæggelse af forpligtelsernes omfang. Organisationen skal kunne redegøre for, hvilke tjenester, processer, informationssystemer, lokationer og leverandørafhængigheder der er omfattet af KSC-kravene, og hvilket grundlag denne vurdering bygger på. Før dokumentationen bringes i orden, bør ledelsen derfor bekræfte organisationens status og omfanget af de leverede tjenester og derefter udpege en ansvarlig for kontrolforberedelsen.

Den største dokumentationsrisiko opstår, når dokumenterne beskriver løsninger, som organisationen ikke anvender i praksis eller ikke kan underbygge med registreringer. Det gælder især adgangsrettighedsgennemgange, risikovurderinger, sikkerhedskopiering, leverandørstyring og test af forretningskontinuitet. Materialet skal udgøre en sammenhængende kæde: krav eller risiko, beslutning, implementeret sikkerhedsforanstaltning, ansvar, registrering af udførelsen, resultatet af effektivitetsvurderingen og reaktionen på en konstateret afvigelse.

Myndigheden kan begynde med et overordnet styrende dokument og derefter udtage en operationel stikprøve. Hvis proceduren for hændelseshåndtering beskriver klassificering og eskalering, bør organisationen forvente, at anmeldelser, reaktionstider, beslutninger, kommunikation, sagsafslutning og læringspunkter efter hændelser bliver gennemgået. Systemets omfang dokumenteres ikke kun med en beskrivelse, men også med et kort over tjenester og afhængigheder, en aktivfortegnelse, udpegede ejere og overensstemmelse mellem disse oplysninger og de operationelle registre.

NIS2- og KSC-dokumentation før kontrol: hvilke politikker, registre og beviser er reelt nødvendige? bør afspejle en fungerende ledelsesmekanisme – ikke et katalog af skabeloner. En myndighedskontrol skal samtidig adskilles fra en audit af et ledelsessystem. De to aktiviteter kan bygge på tilsvarende dokumentation, men myndighedskontrollen vurderer opfyldelsen af de forpligtelser, der følger af de relevante regler og tilsynets omfang, mens en audit vurderer systemets overensstemmelse og effektivitet efter fastlagte kriterier. Et positivt resultat af den ene aktivitet erstatter ikke den anden.

Omfang og ansvar under lup

Den første gruppe af beviser skal forklare, hvorfor organisationen er omfattet af bestemte forpligtelser, og hvor grænserne for det kontrollerede miljø går. Myndigheden kan forvente en begrundelse for organisationens klassifikation, identifikation af de regulerede tjenester og en angivelse af de tilknyttede processer, informationsaktiver, systemer, lokationer og leverandører. Omfanget bør ikke beskrives alene med virksomhedens aktivitetsbetegnelse. Beskrivelsen skal gøre det muligt at følge leveringen af en tjeneste fra forretningsprocessen over de understøttende aktiver til de eksterne afhængigheder.

Grundlaget for forberedelsen er en ajourført og ledelsesgodkendt beskrivelse af omfanget, suppleret med et kort over tjenester og processer, en fortegnelse over kritiske aktiver og en klar ansvarsstruktur. Dokumenter, der fastlægger roller, bør ikke kun angive stillingsbetegnelser, men også mandatet til at acceptere risici, aktivere beredskabsforanstaltninger, eskalere hændelser og træffe beslutninger vedrørende leverandører. Ejere af tjenester, aktiver og risici skal udpeges i overensstemmelse med den faktiske kompetence- og ansvarsfordeling.

En typisk uoverensstemmelse opstår, når risikoregistret angiver en formel risikoejer, mens beslutningen om risikoaccept træffes af en anden person uden det nødvendige mandat eller en dokumenteret godkendelse. Den samme problemstilling gælder undtagelser fra sikkerhedsforanstaltninger, forretningskontinuitet og godkendelse af leverandører. Mødereferater, beslutninger, godkendelser af risikovurderinger, budgetbeslutninger og ledelsesgennemgange skal vise, at ledelsen kender de væsentlige risici, afgør forhold uden for de operationelle funktioners mandat og følger op på gennemførelsen af sine beslutninger.

Metoden til klassifikation, registrering i den relevante fortegnelse og myndighedens kompetence skal i hvert enkelt tilfælde vurderes på grundlag af gældende ret og organisationens konkrete situation. En praktisk uddybning findes i NIS2: egenvurdering og registrering i KSC-fortegnelsen – hvad skal en produktionsvirksomhed gøre? Hvis organisationen har status som en væsentlig enhed, bør vurderingen af omfanget desuden sammenholdes med materialet Obligatorisk KSC-audit: hvilke væsentlige enheder skal forberede sig på den første overensstemmelsesvurdering? Selve statusklassifikationen dokumenterer dog ikke, at ledelsen har godkendt ansvarsgrænserne og sikret en periodisk gennemgang af dem.

Registrene viser den faktiske praksis

Et register dokumenterer kun løbende styring, når det afspejler de beslutninger og aktiviteter, der faktisk gennemføres i processerne – ikke når det blot ajourføres periodisk som bilag til en procedure. Før værktøjet vælges, skal organisationen fastlægge de nødvendige datafelter, datakilder, registreringsejere og regler for godkendelse af ændringer. Et regneark kan være tilstrækkeligt, hvis det sikrer adgangsstyring, ændringshistorik, entydigt ansvar og beskyttelse mod uautoriserede ændringer. Et avanceret værktøj skaber ikke i sig selv troværdige data, hvis det er uklart, hvem der opdaterer registret, hvornår det sker, og hvilken hændelse opdateringen bygger på.

Risikoregistret bør forbinde trusselsscenarier med tjenester og aktiver og angive ejer, eksisterende sikkerhedsforanstaltninger, vurderingsresultat, beslutning om risikobehandling samt status for de tilknyttede aktiviteter. Myndigheden kan kontrollere, om en risiko, der er markeret til reduktion, har en ansvarlig aktivitet, en frist og dokumentation for gennemførelsen, og om en accepteret risiko er godkendt af en person med det nødvendige mandat. Relevante ledelsesindikatorer kan være antallet af åbne risici, uafsluttede aktiviteter og beslutninger, der afventer fornyet gennemgang. Det er indikatorer fastlagt af organisationen og ikke lovbestemte tærskelværdier.

Hændelses- og begivenhedsregistret skal gøre det muligt at rekonstruere hele forløbet: registrering, klassifikation af hændelsen, eskalering, beslutning om anmeldelse, kommunikation, genetablering af driften og formel afslutning med læringspunkter. Tilknyttet materiale kan omfatte registre over sårbarheder, patches og godkendte undtagelser, adgangsrettighedsgennemgange, udførelse og gendannelse af sikkerhedskopier, konfigurationsændringer, administratoraktiviteter, uddannelse og øvelser.

En udsat patch skal kunne spores fra den identificerede sårbarhed over vurderingen af konsekvensen og beslutningen om undtagelsen til etableringen af kompenserende foranstaltninger, fristen for en ny vurdering og bekræftelsen af afslutningen. En liste over udestående patches forklarer ikke i sig selv, om forsinkelsen er under kontrol.

Den samme sammenhæng kræves i styringen af forsyningskæden. En liste over kontrakter erstatter ikke klassifikation af leverandørerne, vurdering af tjenesters og aktivers afhængighed af eksterne parter, fastlæggelse af sikkerhedskrav, registreringer fra gennemgange eller beslutninger om mangler, som ikke kan accepteres. Registret bør vise, hvem der godkendte leverandøren, hvilke undtagelser der blev accepteret, og hvornår næste vurdering skal gennemføres. Der bør især følges op på leverandører uden en ajourført vurdering og på aktiviteter, som ikke er afsluttet efter en gennemgang. Dette er også væsentligt ved gennemførelsen af programmet Implementering af NIS2 efter registrering i KSC-fortegnelsen – handlingsplan frem til 3. april 2027.

Regler for opbevaring, adgang og godkendelse af ændringer skal differentieres efter registreringens type, dokumentationsværdi, juridiske og kontraktlige krav samt behovene i forbindelse med analyse af hændelser. Der bør ikke fastsættes én fælles opbevaringsperiode for alle registre uden en sådan analyse. Frister for hændelsesrapportering og metoden til sikring af beviser skal altid kontrolleres i forhold til gældende regler og vejledningen fra den kompetente myndighed. Et bredere katalog over materialer beskrives i NIS2- og KSC-dokumentation før kontrol: hvilke politikker, registre og beviser er reelt nødvendige? Den operationelle modenhed afgøres imidlertid af registreringer, der skabes som led i det daglige arbejde, og af en synlig sammenhæng fra det fastlagte krav til kontrolresultatet og den korrigerende handling.

Test skal afsluttes med en beslutning

Tilsynsmyndigheden kan spørge om mere end en kontinuitetsplan, en procedure for hændelseshåndtering eller dokumentation for udførte sikkerhedskopier. Det er også væsentligt at kunne dokumentere, at løsningerne er afprøvet under forhold, der svarer til de faktiske tjenester, teknologier og leverandørafhængigheder. Testprogrammet bør bygge på risikovurderingen, tjenestens kritikalitet, ændringer i miljøet samt juridiske og kontraktlige krav. Der findes ikke én korrekt testfrekvens for alle sikkerhedsforanstaltninger. Områder med stor potentiel konsekvens, hurtige ændringer eller væsentlige afvigelser fra tidligere test bør kontrolleres oftere.

Før hver test skal testobjektet og acceptkriterierne fastlægges. Registreringen bør omfatte omfang, scenarie, deltagere, miljø, acceptkriterier og tilladte tolerancer samt efter gennemførelsen resultatet, afvigelserne og den faktiske eller potentielle påvirkning af tjenesten. Hvis testen afdækker mangler, skal dokumentationen angive korrigerende handlinger, ansvarlige ejere, gennemførelsesfrister og datoen for den efterfølgende verifikation.

Relevante målepunkter omfatter den faktiske gendannelsestid, det opnåede gendannelsespunkt, eskaleringstiden og andelen af aktiviteter, som er afsluttet efter testen. Den mest alvorlige organisatoriske fejl er at gennemføre tilbagevendende test uden succeskriterier eller uden at lukke de konstaterede afvigelser.

Centrale prøvninger omfatter gendannelse af data fra sikkerhedskopier, failover til beredskabsløsninger, øvelser i hændelseshåndtering, test af krisekommunikation, gennemgang af adgangsrettigheder, gendannelse af konfigurationer og teknisk undersøgelse af sårbarheder, herunder scanning og – når risikoen tilsiger det – penetrationstest. En leverandørs testresultat kan indgå i dokumentationen, men erstatter ikke organisationens egen prøvning, hvis det ikke omfatter dens processer, integrationer, ansvar og driftsforhold.

Efter hver test skal tjenesteejeren træffe en dokumenteret beslutning: godkende resultatet, gennemføre en korrektion, etablere en kompenserende foranstaltning, gentage testen eller acceptere risikoen inden for det tildelte mandat.

En vellykket sikkerhedskopiering af en database dokumenterer ikke i sig selv, at tjenesten kan genetableres. Under testen kan det vise sig, at applikationen kræver en udokumenteret konfigurationsversion, at identitetsmekanismen ikke fungerer i beredskabsmiljøet, at nøglerne ikke er tilgængelige, eller at den eneste person, der kender rækkefølgen for opstart af komponenterne, ikke deltager i gendannelsen. Først når hele afhængighedskæden er testet, kan den faktiske gendannelsestid og det opnåede gendannelsespunkt sammenholdes med de fastlagte kriterier, påvirkningen af tjenesten vurderes, og der træffes beslutning om beredskabsniveauet eller behovet for forbedringer.

Denne måde at dokumentere prøvninger på er relevant på tværs af brancher, også ved vurdering af NIS2 for produktionsvirksomheder: hvem er omfattet, hvilke forpligtelser indføres, og hvordan forberedes organisationen uden at reducere emnet til IT? Omfanget af den forventede dokumentation skal vurderes i forhold til organisationens konkrete forpligtelser, tjenester og gældende ret. Det afgørende er fortsat en sammenhængende kæde: identificeret risiko, planlagt test, målbart kriterium, dokumenteret resultat, ejerens beslutning og bekræftelse af, at de efterfølgende aktiviteter er afsluttet effektivt.

Uoverensstemmelser øger omkostningerne ved kontrollen

Formelt komplet dokumentation mister sin værdi, hvis den ikke svarer til de faktiske forhold. Myndigheden kan sammenholde erklæringer i politikker med systemkonfigurationer, sagsregistreringer, kontrakter, adgangslister, scanningsresultater, testprotokoller og procesejernes forklaringer. Det handler ikke om redaktionel ensartethed, men om at kunne følge en beslutning fra det identificerede krav og den erkendte risiko til den implementerede sikkerhedsforanstaltning, dokumentationen for dens funktion og reaktionen på en afvigelse.

En intern kontrolprøve før myndighedens kontrol bør bygge på en målrettet stikprøve af tjenester, hændelser, leverandører og adgangsrettigheder og derefter følge dokumentationssporet tilbage til kildedataene. Det kan afdække en forældet aktivfortegnelse, forskellige betegnelser for den samme tjeneste i flere dokumenter, risici uden ejere, hændelser der mangler i registret, leverandører uden dokumenteret vurdering og korrigerende handlinger, som er lukket uden kontrol af deres effektivitet. Afvigelser bør håndteres ved først at fastlægge de faktiske forhold og ejerskabet til registreringen – ikke ved en hurtig sproglig harmonisering af dokumenterne.

I en produktionsvirksomhed bør gennemgangen ikke stoppe ved det administrative IT-miljø. For en udvalgt tjeneste kan den omfatte vedligeholdelse, industriel automation, fjernadgang til service, konfigurationsstyring og afhængigheder mellem produktionssystemer. Adgangsfortegnelsen kan eksempelvis mangle en konto, som anvendes af en servicetekniker, selv om kontrakten, forbindelsesloggen og enhedens konfiguration bekræfter dens eksistens. Betydningen af sådanne afhængigheder beskrives nærmere i materialet NIS2 for produktionsvirksomheder: hvem er omfattet, hvilke forpligtelser indføres, og hvordan forberedes organisationen uden at reducere emnet til IT?

Et certifikat for et ledelsessystem kan understøtte en systematisk tilgang til risikostyring, dokumentstyring, audit og korrigerende handlinger, men det erstatter ikke vurderingen af det retlige anvendelsesområde eller dokumentationen for opfyldelsen af de konkrete KSC-forpligtelser. Denne grænse behandles i NIS2 og DS/EN ISO 27001: hvad giver certifikatet, og hvad mangler fortsat for at efterleve KSC? Manglen på en enkelt registrering er ikke nødvendigvis i sig selv afgørende for, om der foreligger en afvigelse, men det kræver en vurdering af bevisets betydning, årsagen til dokumentationshullet og muligheden for at underbygge foranstaltningens funktion med andre troværdige registreringer.

Omkostningerne ved kontrollen stiger især, når dokumentationen er spredt, fuldmagterne er uklare, og ingen koordinerer svarene og godkendelsen af det materiale, der udleveres. I sådanne situationer begynder teams først under myndighedskontrollen manuelt at afstemme modstridende data. Tidlig udpegning af en koordinator, ejere af de enkelte beviser og regler for håndtering af uoverensstemmelser reducerer både arbejdsbyrden og risikoen for at give myndigheden modstridende forklaringer.

Kontrolberedskab opbygges gennem en intern kontrolprøve

Den interne kontrolprøve bør begynde med en bekræftelse af organisationens status, omfanget af de tjenester, der er omfattet af forpligtelserne, og ansvaret hos ledelsen og procesejerne. Derefter bør koordinatoren for kontakten med myndigheden udarbejde en overensstemmelsesmatrix, der forbinder hver forpligtelse med en ansvarlig ejer og den relevante dokumentation. På dette grundlag gennemgås stikprøver af registreringer, der gennemføres samtaler med ansvarlige personer, og forløbet for en udvalgt hændelse eller test rekonstrueres. Koordinatorrollen bør varetages af en person med adgang til ledelsen og mandat til at afklare uoverensstemmelser, men uden at overtage det faglige ansvar fra dokumentationsejerne.

Hver ansvarlig for en forpligtelse bør kunne pege på:

• det styrende dokument, der fastlægger arbejdsmetoden,
• registreringen, der dokumenterer, at forpligtelsen er udført,
• indikatoren for den valgte foranstaltnings effektivitet,
• den seneste beslutning, som er truffet på baggrund af gennemgangen.

Mangler et af disse elementer, er der et brud i dokumentationskæden. En procedure for hændelseshåndtering er ikke tilstrækkelig, hvis organisationen ikke kan fremlægge registreringen af hændelsen, reaktionstiden, konsekvensvurderingen, resultatet af årsagsanalysen og beslutningen om at ændre sikkerhedsforanstaltningerne. Rekonstruktionen af en konkret sag viser også, om medarbejdernes forklaringer stemmer overens med registreringerne og det faktiske hændelsesforløb.

Kontrolprøven bør også omfatte den praktiske håndtering af myndighedskontrollen: modtagelse og registrering af anmodningen, fastlæggelse af svarfrist og ansvarlig, godkendelse af materialet, beskyttelse af følsomme oplysninger, versionsmærkning af det udleverede materiale og dokumentation af aftaler med myndigheden. Det er relevant at øve en situation, hvor den ønskede registrering indeholder oplysninger, der ligger uden for kontrollens emne, eller kræver en forklaring af konteksten. På den måde kan organisationen fastlægge, hvem der beslutter omfanget af udleveringen, og hvordan der bevares et spor over det overdragede materiale.

Handlingsplanen bør prioritere mangler efter deres påvirkning af tjenesten, retlige eksponering, sandsynligheden for at blive konstateret og den tid, der kræves for at opnå troværdig dokumentation for effektiviteten – ikke efter hvor let det er at skrive endnu en procedure. Ledelsen godkender prioriteringer, ressourcer og det acceptable risikoniveau. En aktivitet kan først lukkes, når foranstaltningen er kontrolleret igen.

Tidsplanen skal baseres på organisationens faktiske status, korrespondancen med myndigheden og de gældende regler. Når status er fastlagt, kan analysen suppleres med NIS2: egenvurdering og registrering i KSC-fortegnelsen – hvad skal en produktionsvirksomhed gøre? samt Implementering af NIS2 efter registrering i KSC-fortegnelsen – handlingsplan frem til 3. april 2027. De datoer og forpligtelser, der er angivet i disse materialer, skal i hvert enkelt tilfælde bekræftes i forhold til gældende ret.