Obligatorisk KSC-audit: Hvilke væsentlige enheder skal forberede sig på den første overensstemmelsesvurdering?

En obligatorisk KSC-audit begynder ikke med valg af auditor eller udarbejdelse af procedurer. Først skal den konkrete enheds status afklares, de regulerede tjenester afgrænses, og ansvaret for risici, sikkerhedsforanstaltninger og dokumentation for deres funktion placeres. Uden disse afklaringer risikerer organisationen at bruge ressourcer på de forkerte områder, overse kritiske afhængigheder eller gå ind i auditten med dokumentation, som ikke afspejler den faktiske levering af tjenester. Paratheden til den første vurdering afhænger derfor ikke af antallet af procedurer, men af sammenhængen mellem den juridiske klassificering, det operationelle omfang, risikostyringen og den daglige praksis.

Hvem bliver omfattet af den første audit?

Den første beslutning bør være at fastslå, om den pågældende juridiske person er omfattet af KSC, hvilken kategori den tilhører, og hvilke auditkrav og frister der gælder. Klassificeringen skal tage højde for sektoren, den faktisk udførte aktivitet, organisationens størrelse og eventuelle særlige kriterier i den til enhver tid gældende lovgivning. Væsentlige enheder må ikke automatisk sidestilles med de tidligere operatører af væsentlige tjenester, og deres status kan ikke afgøres alene ud fra en PKD-branchekode. Koden kan være en indikation, men erstatter ikke en analyse af tjenesterne, deres modtagere og organisationens rolle i sektoren.

Det første arbejdsdokument bør være en formelt godkendt klassificeringsanalyse. Den skal beskrive de regulerede aktiviteter, de organisatoriske enheder, der udfører dem, de leverede tjenester, de understøttende informationssystemer og grundlaget for den valgte vurdering. Ejerskabet for KSC-complianceprocessen kan placeres hos jura, compliance eller cybersikkerhed, men klassificeringen bør formelt godkendes af det organ, der er bemyndiget til at træffe beslutninger på enhedens vegne. I tvivlstilfælde bør organisationen indhente juridisk rådgivning frem for at basere forberedelsesprogrammet på en udokumenteret antagelse.

I en koncern gælder ét selskabs status ikke automatisk for de øvrige. Hver juridisk person, dens aktiviteter, størrelse og særlige kriterier skal vurderes særskilt. Først derefter bør fælles servicecentre, infrastruktur, systemer og leverandører identificeres. Denne adskillelse er nødvendig for at placere risikoansvaret, fastlægge auditgrænserne og planlægge, hvordan virksomheden forberedes til en andenpartsaudit hos en kritisk leverandør.

Detaljerede tærskler, undtagelser, identifikations-, registrerings- eller anmeldelsesprocedurer samt auditfrister skal kontrolleres i den gældende version af den polske lov om det nationale cybersikkerhedssystem og de relevante gennemførelsesbestemmelser. Manglende officiel underretning bør ikke i sig selv sætte analysen i bero, hvis aktivitetsprofilen tyder på, at enheden kan være omfattet. Først når status er bekræftet, kan omfanget og tidsplanen for den første audit fastlægges på et forsvarligt grundlag.

Afgrænsningen er afgørende for resultatet

Den alvorligste fejl i forberedelsen er at sidestille omfanget af en KSC-audit med IT-afdelingen. Vurderingen vedrører styringen af sikkerheden omkring tjenester og systemer. Auditgrænserne skal derfor også omfatte drift, vedligeholdelse, indkøb, HR, forretningskontinuitet, hændelseshåndtering og ledelsesmæssigt tilsyn. Et for snævert omfang overser afhængigheder, der er afgørende for tjenestens robusthed. Hvis hele organisationen derimod medtages uden en risikobaseret begrundelse, øges arbejdsbyrden, og det bliver vanskeligere at skelne væsentlige observationer fra sekundære forhold.

Omfanget skal tage udgangspunkt i de regulerede tjenester. Herfra kortlægges de understøttende processer og informationer videre til applikationer, infrastruktur, lokationer, medarbejdere og eksterne parter. En udstyrsliste viser ikke i sig selv, hvilke aktiver der er afgørende for tjenesteleveringen, eller hvem der ejer de tilknyttede risici. For hver tjeneste bør organisationen derfor udpege en ejer og identificere afhængige processer, kritiske informationsaktiver, systemer, leverandører og dokumentation for, at sikkerhedsforanstaltningerne fungerer. Afhængighedskortet skal gøre det muligt at følge konsekvenserne af utilgængelighed eller kompromittering uden at dokumentere relationer, som ikke påvirker den vurderede tjeneste.

Betydningen af denne tilgang ses tydeligt ved sikkerhedskopiering. Backups kan være gennemført rettidigt, overvåget og i overensstemmelse med proceduren. Hvis den operationelle procesejer imidlertid ikke har fastlagt den nødvendige gendannelsestid, kan organisationen ikke dokumentere, at den tekniske foranstaltning opfylder forretningsbehovet. Tilsvarende skal et system, der deles af flere koncernselskaber, indgå i omfanget for hvert selskab, hvis regulerede tjeneste systemet understøtter. Ansvarsdelingen for administration, risici, hændelser og fremlæggelse af dokumentation skal samtidig beskrives klart.

De organisatoriske og tekniske grænser bør bekræftes på en workshop med tjeneste- og procesejere samt de ansvarlige for forretningskontinuitet, cybersikkerhed og kritiske leverandører. Afgrænsningen må ikke baseres alene på en samtale med infrastrukturadministratoren. Workshoppen bør resultere i en oversigt over omfattede tjenester, understøttende systemer, lokationer og leverandører, fælles afhængigheder og begrundede undtagelser. For hver undtagelse skal grundlaget, påvirkningen af tjenesten og beslutningsejeren fremgå.

Kortlægningen er også udgangspunktet for at estimere de ressourcer, der behandles i materialet Hvad koster implementering af NIS2 og uKSC – sådan budgetteres audit, dokumentation, uddannelse og sikkerhedsforanstaltninger uden dyre fejl.

Ved fastlæggelse af roller, vurderingens uafhængighed og håndtering af observationer kan sondringen mellem intern og ekstern audit anvendes som støtte. Det ændrer ikke ved det grundlæggende princip: En KSC-audit har sit eget retsgrundlag, sine egne kriterier og et omfang, der følger af den auditerede enheds forpligtelser. Den er ikke en almindelig certificeringsaudit af et ledelsessystem, selv om der anvendes tilsvarende metoder til indsamling af auditbevis og vurdering af sikkerhedsforanstaltningernes effektivitet.

Omkostningerne vokser i grænsefladerne mellem ansvar

De største forberedelsesomkostninger opstår normalt ikke dér, hvor et dokument mangler, men i grænsefladerne mellem spredte ansvarsområder. Det gælder især relationerne mellem IT og drift, selskab og koncern, kunde og leverandør samt procesejer og systemejer. Hvis ingen entydigt ejer risikoen, hændelseshåndteringen, kontinuiteten og fremlæggelsen af dokumentation, forbliver manglen åben, selv om rollerne formelt er fordelt.

Budgettet bør baseres på manglernes påvirkning af tjenesten og risikoen for ikke at kunne dokumentere sikkerhedsforanstaltningernes effektivitet – ikke på antallet af manglende procedurer. Det er hensigtsmæssigt at budgettere særskilt for gap-analyse, organisatoriske tiltag, tekniske sikkerhedsforanstaltninger, test, kompetenceudvikling, leverandørstyring og selve auditten. Tre målepunkter er særligt nyttige:

• antallet af kritiske mangler, der kræver investeringer eller kontraktændringer;
• den forventede implementeringstid for sikkerhedsforanstaltninger, som skal testes;
• andelen af omkostninger til modernisering af infrastrukturen, som ikke alene skyldes compliancekravet.

De vanskeligste mangler at afhjælpe er som regel dem, der kræver tekniske ændringer, genforhandling af kontrakter, gendannelsestest, styring af privilegerede adgange eller omlægning af processen for rapportering og eskalering af hændelser. De kan ikke lukkes troværdigt alene ved at godkende en procedure. En cloudleverandør kan eksempelvis beskrive omfattende sikkerhedsforanstaltninger, mens organisationen fortsat ikke kan dokumentere ansvarsdelingen, retten til at modtage oplysninger om hændelser eller muligheden for at indhente den dokumentation, auditoren har behov for. Manglen vedrører da både kontrakten, leverandørtilsynet, tjenestearkitekturen og auditbevisets tilgængelighed.

Inden auditten skal alle mangler, der underminerer evnen til at levere tjenesten, reagere på hændelser eller dokumentere en kritisk sikkerhedsforanstaltnings funktion, lukkes. For øvrige mangler kan en kontrolleret handlingsplan accepteres, hvis den fastlægger ejer, frist, ressourcer, midlertidig risikoreduktion og beslutning om accept af restrisiko på det rette ledelsesniveau. Opgaver bør ikke prioriteres, blot fordi de er lette at markere som afsluttet. Valget mellem at købe et værktøj og forbedre en proces skal ligeledes baseres på den bagvedliggende årsag til manglen – ikke på, om der er et investeringsbudget til rådighed.

Den samme disciplin omkring ansvar er relevant i det område, der beskrives i Sådan forberedes teamet på en kundeaudit, når APQP, PPAP og årsagsanalyse er påkrævet, selv om kriterierne og vurderingsgrundlaget er forskellige.

Auditoren vurderer praksis – ikke ringbindet

Et dokument er kun begyndelsen på en dokumentationskæde. Auditoren skal kunne følge sporet fra kravet og den identificerede risiko til procesejeren, den implementerede sikkerhedsforanstaltning, registreringen af dens udførelse, overvågningsresultatet og reaktionen på konstaterede afvigelser. En politik, procedure eller instruktion dokumenterer ikke i sig selv effektivitet. Der kræves objektivt auditbevis fra organisationens normale drift: sager, hændelseslogfiler, godkendelser, testprotokoller, resultater fra gennemgange, risikobeslutninger og afsluttede korrigerende handlinger.

Forberedelsesprogrammet bør beskrive, hvordan stikprøver fra reelle sager udvælges, og ikke blot angive, hvilke dokumenter der skal vises. Stikprøven bør blandt andet omfatte tildeling og fjernelse af adgang, sårbarhedshåndtering, en hændelse, datagendannelse, en systemændring, medarbejderuddannelse, leverandørkvalificering og ledelsens gennemgang. For hver stikprøve skal registreringskilden, den ansvarlige person og kriteriet for effektivitet være fastlagt.

Det er nyttigt at sammenholde antallet af overensstemmende sager, afvigelser og tilfælde uden tilstrækkelig dokumentation. Hvor organisationen gennemfører målinger, bør respons- og lukketider for hændelser samt resultaterne af gendannelsestest, øvelser og adgangsgennemgange også indgå. Opbevaringsperioden for auditbevis skal gøre det muligt at vurdere processens gentagelighed og omfatte hændelser, der er væsentlige for risikoen. Perioden bør ikke fastlægges alene ud fra den planlagte auditdato.

En procedure for fjernelse af adgange er ikke tilstrækkeligt auditbevis, hvis en stikprøve blandt tidligere medarbejdere viser forsinkelser, fortsat aktive konti eller manglende bekræftelse på, at anmodningen er udført. Auditoren kan sammenholde HR-data, supportsager, katalogregistreringer og aktivitetslogfiler. Automatisk genereret dokumentation fra værktøjer har værdi, hvis organisationen kan påvise fuldstændighed, pålidelig tidsstempling og kobling til den konkrete sag. Beslutninger om risikoaccept, undtagelser, lukning af hændelser eller leverandørkvalificering kræver derimod en godkendt registrering med entydig placering af ansvaret.

Den interne audittest bør afspejle den eksterne auditors vurderingsforløb: fra kriteriet over stikprøven til vurderingen af implementering og effektivitet. Den må dog ikke udføres af personer, der vurderer deres eget arbejde. Ved vurdering af tilsynet med tredjeparter kan Leverandøraudit i atomenergisektoren – hvad vurderes, og hvordan forberedes virksomheden inden kvalificering? give nyttig kontekst, forudsat at de forskellige vurderingskriterier holdes adskilt.

Et eksisterende ledelsessystem kan allerede indeholde mekanismer til dokumentstyring, intern audit, korrigerende handlinger og ledelsens gennemgang. De bør genbruges frem for at etablere parallelle arbejdsgange. Et eksisterende certifikat erstatter imidlertid ikke dokumentation for overensstemmelse med de relevante KSC-kriterier. Resultatet afhænger af, om sikkerhedsforanstaltningerne fungerer inden for det fastlagte omfang, og om organisationen kan fremlægge sammenhængende og pålideligt auditbevis for deres anvendelse.

Leverandørerne bliver en del af omfanget

Outsourcing af systemdrift, databehandling eller sikkerhedsovervågning overfører ikke den væsentlige enheds ansvar til leverandøren. Leverandøren kan udføre sikkerhedsforanstaltninger og håndtere hændelser, men organisationen skal fortsat forstå tjenestens risici, fastlægge krav og dokumentere et effektivt tilsyn. Auditforberedelsen skal derfor også omfatte eksterne tjenester, som forretningskontinuiteten, oplysningernes fortrolighed eller systemernes tilgængelighed afhænger af.

Vurderingens dybde bør afspejle leverandørens kritikalitet. Relevante faktorer omfatter konsekvensen af et nedbrud for tjenesten, omfanget af adgang til information og systemer, muligheden for at udskifte leverandøren, brugen af underleverandører, behandlingslokationen og den faktiske mulighed for at indhente auditbevis. Leverandører med begrænset påvirkning kan vurderes gennem et spørgeskema og dokumentgennemgang. For strategiske partnere kan interviews, kontinuitetstest, analyse af driftsregistreringer eller en andenpartsaudit være berettiget.

Hvis en leverandør afviser auditret, bør organisationen fastlægge alternative former for auditbevis, vurdere restrisikoen og beslutte, om der er behov for yderligere foranstaltninger, kontraktgenforhandling eller en exitplan. En leverandørerklæring eller et certifikat kan være utilstrækkeligt, hvis det ikke omfatter den relevante tjeneste, lokation eller operationelle afgrænsning.

En typisk mangel opstår, når kontrakten fastlægger tjenestens tilgængelighed, men ikke fristen for information om en hændelse, samarbejdet om årsagsanalyse eller retten til at verificere leverandørens handlinger. Dette er ikke kun en formel mangel. Uden sådanne bestemmelser risikerer organisationen ikke at modtage de oplysninger rettidigt, som er nødvendige for at vurdere konsekvenserne, træffe beslutninger og fremlægge et sammenhængende hændelsesforløb for auditoren. En kontraktuel mangel kan ikke afhjælpes alene gennem en intern procedure.

Gennemgangen af kontrakter og sikkerhedsbilag bør omfatte krav til informationsbeskyttelse, hændelsesrapportering, forretningskontinuitet, underleverandører, ophør af samarbejdet, returnering eller sletning af data, adgang til auditbevis og regler for verifikation. Fremdriften kan måles gennem antallet af kritiske leverandører, andelen af partnere med en opdateret risikovurdering og dokumenteret tilsyn, antallet af kontrakter, der kræver opdatering, samt tjenester uden en bekræftet kontinuitets- eller exitplan. Metoden til en mere dybdegående vurdering er beskrevet i materialet Sådan forberedes virksomheden til en andenpartsaudit hos en kritisk leverandør.

Planen frem mod den første vurdering

Forberedelsesprogrammet bør gennemføres i en fast rækkefølge: Bekræft enhedens status og de relevante juridiske kriterier, fastlæg grænserne for det vurderede miljø, placer ansvar, gennemfør risiko- og gap-analyse, og godkend derefter handlingsplanen. Først når tiltagene er implementeret, og der foreligger registreringer fra den faktiske drift, er en præaudit eller mock-audit relevant. Resultaterne skal føre til fjernelse af årsagerne til afvigelserne – ikke blot deres symptomer – og afsluttes med ledelsens gennemgang af auditparatheden.

Tidsplanen skal udarbejdes baglæns fra den frist, der følger af den gældende lovgivning eller en formel afgørelse for den konkrete enhed. Der findes ikke én generel og sikker startdato for alle organisationer. Behovet afhænger af den juridiske status, det tekniske omfang, sikkerhedsforanstaltningernes modenhed, antallet af eksterne afhængigheder og den tid, der kræves for at generere registreringer, som dokumenterer stabil drift. Ledelsen bør godkende prioriteringerne ud fra risikoniveau og indbyrdes afhængigheder – ikke efter, hvilke punkter der er lettest at lukke i planen.

En opgave er ikke reelt afsluttet, blot fordi en procedure er offentliggjort. Den forbliver åben, indtil proceduren er implementeret, kontrolleret på en repræsentativ stikprøve og dokumenteret gennem registreringer. Det gælder også tekniske sikkerhedsforanstaltninger, hændelseshåndtering, kontinuitetsplaner og leverandørtilsyn. Auditparathed kræver dokumentation for hele styringscyklussen: beslutning, udførelse, kontrol af resultatet og reaktion på konstaterede afvigelser. Hvis manglen vedrører samarbejdsvilkårene med en ekstern part, kan Leverandøraudit før kontraktunderskrivelse – sådan reduceres risikoen for kvalitets- og leveringsproblemer give relevant kontekst.

Rapporteringen til ledelsen bør ikke begrænses til planens gennemførelsesprocent. Ledelsesinformationen bør vise:

• antallet af mangler efter alvorlighed samt ejer og frist for lukning;
• andelen af sikkerhedsforanstaltninger, hvis funktion er dokumenteret gennem registreringer;
• åbne risici, som er accepteret på det relevante ledelsesniveau;
• hindringer såsom manglende ejerskab, ikke-implementerede sikkerhedsforanstaltninger, ikke-testede planer, uafklarede kontrakter eller mangler uden troværdigt dokumenteret lukning.

Valget af auditorganisation bør påbegyndes i god tid, men først efter kontrol af de aktuelle KSC-krav til udførende part og dokumentation af resultaterne. Pris må ikke være det eneste kriterium. Organisationen bør vurdere de krævede kvalifikationer, uafhængighed, sektorkompetence, metode og evne til at undersøge det faktiske tekniske miljø. Valget af auditor erstatter hverken en præaudit eller ledelsens gennemgang. Det afslutter alene den organisatoriske del af forberedelsen til den formelle vurdering.

Den første KSC-audit bør behandles som en vurdering af organisationens evne til at styre sikkerheden omkring sine tjenester – ikke som en engangsgennemgang af dokumenter. Enheden er først auditparat, når den kan begrunde sin status og afgrænsning, udpege risikoejere, dokumentere sikkerhedsforanstaltningernes funktion og fremlægge pålideligt auditbevis for tilsynet med processer og leverandører.