NIS2 og DS/EN ISO 27001: Hvad dækker certifikatet, og hvad mangler fortsat for at opfylde KSC-kravene?

I mange virksomheder begynder dialogen om NIS2 med et spørgsmål om DS/EN ISO 27001-certificering. Det er forståeligt, men for ledelsen og procesejerne er det et forkert udgangspunkt. Først skal virksomheden afklare, om den er omfattet af kravene, hvilke tjenester og aktiver de vedrører, og hvem der har ansvaret. Derefter kan man foretage en retvisende vurdering af, hvad det eksisterende ledelsessystem for informationssikkerhed reelt dækker, og hvad der fortsat mangler for at opfylde KSC-kravene. Det er i praksis her, forskellen mellem et velfungerende system og en dyr illusion om beredskab viser sig.

Den dyreste fejl: at sidestille et certifikat med compliance

Den største fejl i projektets begyndelse er ikke manglen på et DS/EN ISO 27001-certifikat, men antagelsen om, at et certifikat i sig selv dokumenterer overholdelse af forpligtelserne efter NIS2 og de nationale regler, der gennemfører kravene i KSC. For ledelsen er det relevante spørgsmål ikke: ”Har vi DS/EN ISO 27001?”, men: ”Er vi omfattet, i hvilken egenskab og for hvilke tjenester, processer og aktiver?” Først når virksomhedens status, omfanget af de aktiviteter, som kravene gælder for, og ledelsens ansvar er afklaret, kan man vurdere, hvor langt det eksisterende system faktisk understøtter compliance, og hvor det blot skaber et indtryk af kontrol.

Denne sondring har direkte betydning for projektets omfang og budget. Et certifikat bekræfter, at ledelsessystemet opfylder standardens krav inden for et fastlagt certificeringsomfang, som normalt fremgår af certifikatet og præciseres i anvendelighedserklæringen. Det erstatter imidlertid ikke en analyse af lovbestemte forpligtelser, identifikation af væsentlige tjenester, vurdering af leverandørafhængigheder eller fastlæggelse af de formelle handlinger, virksomheden skal gennemføre som reguleret enhed. Ledelsen bør derfor skelne mellem tre områder, som ofte blandes sammen: ledelsessystemet, regulatorisk compliance og det operationelle beredskab til at handle under pres fra en hændelse.

De dyreste projekter er typisk dem, der gennemføres i omvendt rækkefølge. Virksomheden tilpasser først dokumentation og kontrolforanstaltninger til certificeringsauditten og opdager senere, at kritiske processer, krav om hændelsesrapportering, leverandørkrav, ledelsesansvar eller sektorspecifikke krav ligger uden for omfanget. På det tidspunkt er det ikke tilstrækkeligt at opdatere enkelte procedurer. Systemets afgrænsning, beslutningsroller og reaktionsmodel skal redesignes.

Fra et operationelt perspektiv bør man derfor ikke alene måle, om virksomheden har et certifikat. Tre forhold er mere relevante: om certificeringsomfanget svarer til de kritiske tjenester, resultatet af en selvevaluering af, om virksomheden er omfattet af KSC, samt antallet af konstaterede forskelle mellem procedurerne og den reelle handleevne. Det naturlige første skridt er derfor ikke mere dokumentation, men en afklaring af, om virksomheden er omfattet, og hvilke formelle handlinger der kræves. Denne rækkefølge understøttes også af emnet NIS2: selvevaluering og optagelse i KSC-registret – hvad skal en produktionsvirksomhed gøre? Det er her, det afgøres, om virksomheden bygger sit system på faktiske forpligtelser eller på en bekvem, men omkostningstung illusion om beredskab.

Hvad DS/EN ISO 27001 reelt dækker – ikke kun på papiret

Den største praktiske værdi ved DS/EN ISO 27001 ligger ikke i selve certifikatet, men i, at et effektivt implementeret system gør informationssikkerhed til et struktureret ledelsesområde. Standarden yder særlig støtte, hvor virksomheden skal arbejde procesbaseret: risikovurdering og risikobehandling, politikker og styringsprincipper, fordeling af roller og ansvar, identifikation af informationsaktiver, hændelseshåndtering, forretningskontinuitet samt mekanismer til evaluering og løbende forbedring. Når disse elementer fungerer i praksis og ikke kun i forbindelse med audit, har virksomheden et solidt grundlag for at dokumentere, at sikkerhed ikke består af enkeltstående kontroller, men af et styret system, der hænger sammen med de operationelle beslutninger.

Ledelsen bør dog ikke alene vurdere certifikatet, men dets anvendelighed i forhold til de tjenester, processer og afhængigheder, der har regulatorisk betydning. Det samme certifikat kan dække et modent system med kritiske processer, regelmæssige evalueringer, korrigerende handlinger og reel opfølgning fra procesejerne – eller et snævert system, der kun omfatter en afgrænset del af virksomheden. Før en selvevaluering efter NIS2- og KSC-kravene bør virksomheden derfor gennemgå mere end anvendelighedserklæringen. Den bør også kontrollere listen over processer, der indgår i risikovurderingen, resultaterne fra interne audits, konklusionerne fra ledelsens evaluering samt om risikobeslutninger omsættes til budgetter, kontrakter, tjenestearkitektur og reaktionsberedskab.

Dette er særligt tydeligt for virksomheder i leverandørkæder. DS/EN ISO 27001 strukturerer normalt kontraktkrav, klassifikation af information, adgangsregler, leverandøransvar og dokumentation af afvigelser. Det er et nyttigt fundament, især når kunder forventer dokumentation for styring af samarbejdspartnere. Certifikatet afklarer imidlertid ikke automatisk alle branchespecifikke forventninger eller særlige sektorkriterier. En tilsvarende problemstilling behandles i DS/EN ISO 27001 eller TISAX – hvad skal man vælge, når kunden stiller krav til informationssikkerhed i leverandørkæden? I praksis skaber certifikatet struktur i relationer og ansvar, men det erstatter ikke en vurdering af, hvilke yderligere krav der skal indarbejdes i kontrakter, eskaleringsprocedurer og styringen af eksterne tjenester.

Konklusionen er klar: Et certifikat kan forkorte vejen til et struktureret sikkerhedsniveau væsentligt, men er ikke i sig selv dokumentation for, at KSC-forpligtelserne er opfyldt. En certificeringsaudit vurderer ledelsessystemets overensstemmelse med standardens krav inden for et defineret omfang. Det er ikke det samme som en vurdering af lovbestemte forpligtelser og operationelt beredskab. Virksomheden bør derfor sideløbende kontrollere, om systemets omfang dækker de væsentlige processer, om risikovurderingen er opdateret i forhold til de faktiske tjenester og afhængigheder, og om procedurerne for hændelseshåndtering, kontinuitet og leverandørstyring fungerer i praksis.

Hvor certifikatet ikke er tilstrækkeligt

Den første mangel vedrører selve den regulatoriske compliance. Et ledelsessystem for informationssikkerhed skaber struktur for principper, roller og styring, men besvarer ikke automatisk spørgsmålet om, hvorvidt enheden er korrekt klassificeret i forhold til KSC-forpligtelserne, hvem der har ansvar for formelle indberetninger, hvem der varetager kontakten til den kompetente myndighed, og hvordan beslutninger eskaleres til ledelsen. Det er ikke blot et manglende dokument, men en svaghed i ansvarsmodellens design. Hvis disse elementer ikke forankres i virksomhedens faktiske driftsmodel, giver certifikatet intern struktur, men endnu ikke regulatorisk styrbarhed.

Den anden mangel vedrører omfanget. Mange virksomheder har en certificering, der er begrænset til en bestemt lokation, et enkelt selskab, en bestemt organisatorisk enhed eller dele af støttefunktionerne. En vurdering af beredskabet efter KSC skal derimod tage udgangspunkt i den faktiske kortlægning af tjenester, kritiske processer, aktiver og afhængigheder – ikke i certificeringsaudittens afgrænsning. Hvis en væsentlig eller vigtig tjeneste leveres af flere selskaber i en koncern med støtte fra et eksternt datacenter, et fælles driftsteam eller en distribueret hændelseshåndteringsproces, kan et formelt korrekt certifikat kun dække en del af helheden. I den situation skal ledelsen ikke alene beslutte, om certifikatet skal udvides, men også om der skal etableres ét integreret complianceprojekt eller to parallelle spor: ét for certificering og ét for regulatoriske krav.

Den tredje mangel handler om dokumentation og bliver ofte først synlig under en hændelse, en øvelse eller et tilsyn. Virksomheden har procedurer for hændelseshåndtering, forretningskontinuitet og leverandørstyring, men kan ikke dokumentere, at mekanismerne fungerer operationelt. Der mangler et hændelsesregister, sporbarhed i ledelsens beslutninger, resultater fra øvelser, evalueringer efter hændelser, effektivitetsmålinger og dokumenterede korrigerende handlinger. Systemet er dermed beskrevet, men ikke efterprøvet. Det er ofte her, de dyreste forbedringer opstår, fordi virksomheden ikke alene skal ændre procedurernes indhold, men også rapporteringen til ledelsen, evalueringsfrekvensen og procesejernes ansvar. Den samme mekanisme ses i andre ledelsessystemer, blandt andet i IATF 16949 – hvilke krav skaber reelt udfordringer i den daglige kvalitetsstyring, og hvordan håndteres de uden symbolsk compliance?

Den fjerde mangel vedrører leverandørkæden og eksterne afhængigheder. Standarden understøtter struktureringen af leverandørkrav, men compliance med KSC kan kræve en mere dybtgående kortlægning: Hvilke eksterne tjenester understøtter leveringen af en kritisk tjeneste? Hvor findes der single points of failure? Hvilke forstyrrelsesscenarier er relevante? Og hvor let kan en leverandør, en nøgleperson eller en lokation erstattes? I praksis bør virksomheden ikke alene måle, om den har kontrakter og leverandørvurderinger. Den bør også vurdere, om certificeringsomfanget svarer til den faktiske kortlægning af kritiske tjenester, om registreringen af hændelser og øvelser er komplet, og om evalueringerne af leverandører og afhængigheder er aktuelle. Først da bliver det tydeligt, om virksomheden har et velfungerende system eller blot et formelt billede af et sådant system.

Complianceprojektet skal bygges op omkring tjenester – ikke dokumenter

En typisk fejl er at indlede projektet med en gennemgang af DS/EN ISO 27001-politikker, procedurer og registreringer i stedet for først at afklare, hvilke tjenester der reelt skal opretholdes, og hvilke regulatoriske forpligtelser de medfører. Den korrekte rækkefølge er den modsatte: Først identificeres de tjenester, processer, aktiver og afhængigheder, som er kritiske for driftskontinuiteten og ansvaret efter KSC. Derefter knyttes systemkrav og dokumentationskrav til dem. Kun denne fremgangsmåde gør det muligt at skelne mellem nødvendig og overflødig dokumentation.

For ledelsen betyder det, at der skal træffes beslutning om at etablere en kortlægning af kritiske tjenester, afhængigheder af leverandører og systemer samt en oversigt over eksisterende procedurer, som kan genbruges uden at skabe parallelle kontrolmekanismer. Først på dette grundlag kan virksomheden se, om det nuværende system dækker det, der reelt er afgørende for tjenestens kontinuitet og compliance, eller alene det, der historisk blev omfattet af certificeringen.

Det næste skridt vedrører ansvarsmodellen. Hvis informationssikkerheden er fordelt mellem IT, kvalitet, compliance, vedligehold og indkøb uden en entydig rollefordeling, udvikler projektet sig hurtigt til en samling lokale initiativer. Virksomheden skal derfor fastlægge, hvem der ejer risiciene, hvem der håndterer hændelser, hvem der fører tilsyn med leverandørrelationer, hvem der træffer ledelsesbeslutninger, og hvem der vedligeholder dokumentationen for compliance. I praksis fungerer en enkel rolle- og ansvarsmatrix samt én fælles ledelsesevalueringsrytme ofte bedre end flere parallelle rapporteringslinjer. Det er også på dette tidspunkt, virksomheden bør beslutte, om der skal etableres én styregruppe for compliance og sikkerhed, og om operationel teknologi skal indgå i den samme risikomodel.

Denne logik er særlig vigtig i produktionsvirksomheder og organisationer med flere lokationer. Her er konsekvenserne af en hændelse ikke begrænset til tab af datas fortrolighed. En hændelse kan også standse en produktionslinje, forstyrre planlægningen, svække sporbarheden af produktionspartier eller medføre tab af evnen til at levere en tjeneste. Informationssikkerhed skal derfor kobles til driftskontinuitet, vedligehold og OT-miljøer. Hvis ledelsessystemet kun dækker kontormiljøet og ikke omfatter styringssystemer, fjernservice, afhængigheder af integratorer eller nødprocedurer på produktionsstedet, bliver risikobilledet formelt struktureret, men operationelt ufuldstændigt. Den samme projektdisciplin ses i andre områder med omfattende styringskrav, herunder i ASME, NQA-1 og ISO 19443 – tre forkortelser, som enhver leverandør til nuklearsektoren bør kende.

Først på dette fundament bør den eksisterende DS/EN ISO 27001-struktur anvendes som basis, hvorefter der gennemføres en særskilt gap-analyse i forhold til KSC. Formålet med analysen er ikke at anfægte certifikatet, men at fastslå, hvor der er reel dækning, og hvor der er behov for supplerende procedurer, registre, eskaleringsveje eller dokumentation for, at kontrollerne virker. Denne tilgang begrænser unødig dokumentation og sikrer bedre sammenhæng mellem kontrolmekanismerne end separate implementeringsprojekter, der konkurrerer om de samme ressourcer.

Sådan vurderes den faktiske situation før audit eller tilsyn

Før en audit, selvevaluering eller et tilsyn bør spørgsmålet ikke være, om virksomheden ”har DS/EN ISO 27001”, men om den kan dokumentere reel handleevne og sporbarhed i beslutningerne. Beredskabet bør vurderes i fire lag: Først afklares omfanget og virksomhedens status i forhold til kravene. Derefter vurderes ledelsessystemets design, processernes effektivitet og til sidst dokumentationens fuldstændighed. Kun denne struktur gør det muligt at skelne mellem dokumentstyring og operationel kapacitet.

De mest værdifulde spørgsmål er derfor ikke: ”Har vi en procedure?”, men: ”Ved vi, hvornår den skal aktiveres? Hvem træffer beslutningen? Hvilke tærskler gælder for eskalering? Hvordan dokumenterer vi forløbet? Og har vi øvet scenariet?” Hvis hændelseshåndteringen afhænger af én persons viden, leverandørrelationerne ikke indeholder definerede sikkerhedskriterier, og ledelsen kun modtager generelle rapporter uden beslutninger og frister, kan systemet være i overensstemmelse med sin egen beskrivelse uden at være klar til at fungere under pres.

Beredskabsvurderingen bør derfor omfatte grænsefladerne mellem ledelsen, driften, IT, vedligehold og leverandører, fordi det oftest er her, mangler, som ikke fremgår af procedurerne, bliver synlige. I praksis giver en gap-analyse i form af en operationel audit ofte det bedste resultat. Her vurderes ikke kun dokumenternes indhold, men også beslutningsforløb, eskaleringsveje, registreringer fra hændelser, resultater af test og øvelser samt registre over afvigelser, observationer og korrigerende handlinger.

Et enkelt scenarie er en effektiv test: Der opstår en hændelse hos en kritisk leverandør eller en driftsforstyrrelse i produktionsmiljøet. Virksomheden skal straks kunne fastslå, hvem der klassificerer hændelsen, hvem der iværksætter kommunikationen, hvem der vurderer påvirkningen af tjenesten, og hvilken dokumentation beslutningerne efterlader. Hvis svarene er spredte, og virksomheden henviser til en ”praksis”, som ikke kan rekonstrueres i registreringerne, er beredskabet kun tilsyneladende – også selv om ledelsessystemet formelt er korrekt vedligeholdt.

Hvis virksomheden allerede gennemfører interne DS/EN ISO 27001-audits, bør de anvendes som platform for denne vurdering. Auditkriterierne skal dog udvides med de regulatoriske forpligtelser og den dokumentation, der forventes i KSC-sammenhæng. Auditkompetencer er meget værdifulde, herunder de kompetencer, der udvikles af personer, som forbereder sig på rollen som ledende auditor eller intern auditor. Et naturligt referencepunkt kan være Ledende auditor for DS/EN ISO 27001: En samlet vejledning til certificering og standardens krav. Rækkefølgen skal dog fastholdes: Auditkompetence gør det muligt at vurdere systemet, men erstatter ikke analysen af, hvilke retlige og organisatoriske forpligtelser der faktisk gælder for virksomheden.

Ledelsens beslutning: Certifikatet som fundament – ikke som alibi

Den mest rationelle tilgang er at betragte DS/EN ISO 27001 som fundamentet for en struktureret ledelsesmodel, ikke som selvstændig dokumentation for, at alle forpligtelser efter NIS2 og KSC er opfyldt. Certifikatet skaber struktur for ansvar, risikovurdering, hændelsesstyring, audit og forbedring. Det fritager imidlertid ikke virksomheden for at fastslå, hvilke forpligtelser der faktisk gælder, hvilket omfang de har, og hvilken dokumentation der kræves for at påvise effektiv drift.

For ledelsen er den største risiko ikke manglende dokumentation, men illusionen om beredskab: forestillingen om, at et certificeret system automatisk betyder, at virksomheden også er klar til kravene i den nationale retlige ramme. Beslutningen bør derfor ikke alene handle om, hvorvidt certificeringen skal opretholdes eller udvides. Først skal ledelsen afklare tre forhold:

• bekræfte virksomhedens status og omfanget af dens forpligtelser,
• gennemføre en gap-analyse mellem det nuværende system og KSC-kravene,
• fastlægge en styringsmodel for gennemførelse af handlinger og dokumentation af deres effektivitet.

På dette grundlag kan virksomheden vurdere, om certificeringsomfanget skal udvides, eller om det eksisterende DS/EN ISO 27001-system kan anvendes uændret og suppleres med de manglende organisatoriske, retlige og operationelle mekanismer. Tre enkle ledelsesværktøjer er særligt nyttige: en sammenstilling af det aktuelle certificeringsomfang og kortlægningen af kritiske processer, en gap-liste med vurdering af påvirkningen på risiko og compliance samt en handlingsplan med ansvarlige, frister og kriterier for afslutning.

Hvis virksomheden fortsat overvejer sin tilgang, findes der ikke én universel rækkefølge. Hvor kundepres eller udbudskrav er stærke, kan opbygningen af et certificerbart system være et velbegrundet første skridt, forudsat at analysen af regulatoriske forpligtelser ikke udskydes. I virksomheder med høj operationel risiko eller en fragmenteret ansvarsmodel kan det være mere hensigtsmæssigt først at lukke de regulatoriske mangler og derefter tilpasse certificeringsomfanget. Det er ikke en diskussion om formaliteternes rækkefølge, men om rækkefølgen for risikoreduktion. Derfor bør emnet ISO-certifikat: Fordele og implementeringsproces heller ikke vurderes isoleret, men som en del af en bredere beslutning om virksomhedens model for complianceledelse.

De bedste resultater opnås gennem ét sammenhængende program, hvor informationssikkerhed, forretningskontinuitet, leverandørstyring og regulatoriske forpligtelser behandles som dele af virksomhedens driftsmodel – ikke som separate initiativer i forskellige funktioner. I polsk sammenhæng er det ofte netop fragmenteringen af ansvaret, der svækker både dokumentationen og den operationelle gennemførelse. Konklusionen er derfor enkel: Certifikatet er nyttigt og kan forkorte vejen til et struktureret system væsentligt, men compliance skal fortsat designes, implementeres og kunne dokumenteres under de betingelser, der gælder for NIS2 og KSC.