En obligatorisk KSC-revision börjar inte med valet av revisor eller med att sammanställa rutiner. Först måste den berörda juridiska personens status bekräftas, de tjänster som omfattas av regleringen avgränsas och ansvaret för risker, säkerhetsåtgärder och bevis på deras funktion fördelas. Utan dessa ställningstaganden riskerar organisationen att lägga resurser på fel områden, förbise kritiska beroenden eller gå in i revisionen med dokumentation som inte speglar hur tjänsterna faktiskt levereras. Beredskapen inför den första bedömningen avgörs därför inte av antalet rutiner, utan av samstämmigheten mellan rättslig klassificering, operativ omfattning, riskhantering och faktisk tillämpning.
Vilka omfattas av den första revisionen?
Det första beslutet är att fastställa om den aktuella juridiska personen omfattas av KSC, vilken kategori den tillhör samt vilka revisionskrav och tidsfrister som gäller. Klassificeringen måste ta hänsyn till sektor, faktiskt bedriven verksamhet, organisationens storlek och de särskilda kriterier som följer av gällande bestämmelser. Väsentliga entiteter ska inte likställas med de tidigare operatörerna av samhällsviktiga tjänster, och statusen kan inte avgöras enbart utifrån en polsk PKD-kod. Koden kan ge vägledning, men ersätter inte en analys av tjänsterna, mottagarna och organisationens roll i den aktuella sektorn.
Det första arbetsdokumentet bör vara en formellt godkänd klassificeringsanalys. Den ska ange vilken verksamhet som omfattas, vilka organisatoriska enheter som bedriver den, vilka tjänster som levereras, vilka informationssystem som stödjer dem och grunden för den valda bedömningen. Ansvaret för KSC-efterlevnadsprocessen kan läggas på juridik-, compliance- eller cybersäkerhetsfunktionen, men klassificeringen bör formellt fastställas av det organ som har mandat att fatta beslut för den juridiska personen. Vid tveksamma fall är det lämpligt att inhämta ett rättsligt utlåtande i stället för att bygga hela förberedelseprogrammet på ett odokumenterat antagande.
| Bedömningsgrund | Arbetsunderlag | Ansvar för bekräftelse |
|---|---|---|
| Sektor och verksamhetstyp | Tjänstebeskrivningar, avtal, tillstånd och operativ modell | Juridik- eller compliancefunktionen tillsammans med verksamhetsansvarig |
| Entitetens storlek | Uppgifter om antal anställda och finansiella data enligt tillämpliga beräkningsregler | Ekonomi och HR |
| Särskilda kriterier | Beslut, registerposter, tjänsternas omfattning och entitetens betydelse | Juridik- eller compliancefunktionen |
| Organisatorisk och teknisk omfattning | Karta över enheter, tjänster, system och leverantörsberoenden | Processägare och cybersäkerhetsfunktionen |
I en koncern omfattar ett bolags status inte automatiskt övriga bolag. Varje juridisk person, dess verksamhet, storlek och särskilda kriterier måste bedömas separat. Först därefter bör gemensamma servicecenter, infrastrukturer, system och leverantörer identifieras. Denna åtskillnad behövs för att fördela riskansvar, fastställa revisionsgränser och planera hur företaget ska förberedas för en andrapartsrevision hos en kritisk leverantör.
Detaljerade tröskelvärden, undantag, förfaranden för identifiering, registrering eller anmälan samt tidsfrister för revision måste kontrolleras mot den vid varje tidpunkt gällande lydelsen av den polska lagen om det nationella cybersäkerhetssystemet och relevanta genomförandebestämmelser. Avsaknaden av en myndighetsunderrättelse bör inte i sig stoppa analysen om verksamhetsprofilen tyder på att organisationen kan omfattas av regleringen. Först när statusen är bekräftad går det att på ett ansvarsfullt sätt fastställa omfattning och tidplan för den första revisionen.
Omfattningen avgör bedömningens kvalitet
Det allvarligaste förberedelsefelet är att likställa KSC-revisionens omfattning med IT-avdelningen. Bedömningen gäller hur säkerheten i tjänster och system styrs. Revisionsgränserna måste därför även omfatta operativa processer, underhåll, inköp, HR, kontinuitetshantering, incidenthantering och ledningens styrning. En alltför snäv omfattning missar beroenden som är avgörande för tjänstens motståndskraft. Att utan saklig grund inkludera hela organisationen ökar däremot arbetsinsatsen och gör det svårare att skilja väsentliga iakttagelser från sekundära frågor.
Omfattningen ska byggas utifrån de tjänster som omfattas av regleringen. Därefter följs kedjan genom stödjande processer och information till applikationer, infrastruktur, platser, personal och externa parter. En inventering av utrustning visar inte i sig vilka resurser som är nödvändiga för tjänstens leverans eller vem som ansvarar för riskerna. För varje tjänst bör man därför ange tjänsteägare, beroende processer, centrala informationstillgångar, system, leverantörer och bevis på att säkerhetsåtgärderna fungerar. Beroendekartan ska göra det möjligt att spåra konsekvenserna av otillgänglighet eller en säkerhetsöverträdelse utan att dokumentera relationer som saknar betydelse för den tjänst som bedöms.
Betydelsen av detta syns tydligt i hanteringen av säkerhetskopior. Säkerhetskopiering kan utföras i tid, övervakas och följa rutinen, men om ägaren av den operativa processen inte har fastställt erforderlig återställningstid går det inte att bekräfta att den tekniska åtgärden motsvarar verksamhetens behov. På samma sätt bör ett system som delas av flera bolag ingå i omfattningen för vart och ett av de bolag vars reglerade tjänst systemet stödjer. Ansvarsfördelningen för administration, risker, incidenter och tillhandahållande av revisionsbevis måste då beskrivas tydligt.
De organisatoriska och tekniska gränserna bör bekräftas i en workshop med tjänste- och processägare samt ansvariga för kontinuitet, cybersäkerhet och kritiska leverantörer. Avgränsningen får inte bygga enbart på samtal med infrastrukturadministratören. Resultatet bör omfatta en förteckning över tjänsterna, stödjande system, platser och leverantörer, gemensamma beroenden samt motiverade undantag. För varje undantag ska grunden, påverkan på tjänsten och beslutsägaren anges.
Kartan utgör också underlag för att uppskatta de resurser som behandlas i artikeln Vad kostar införandet av NIS2 och uKSC – så budgeterar du revision, dokumentation, utbildning och säkerhetsåtgärder utan kostsamma fel.
Vid fastställandet av roller, bedömningens oberoende och hanteringen av iakttagelser kan skillnaden mellan intern och extern revision användas som stöd. Grundprincipen ändras dock inte: KSC-revisionen har en egen rättslig grund, egna kriterier och en omfattning som följer av den granskade entitetens skyldigheter. Det är inte en vanlig certifieringsrevision av ett ledningssystem, även om liknande metoder används för att samla in revisionsbevis och bedöma säkerhetsåtgärdernas verkan.
Kostnaderna ökar i gränssnitten mellan ansvarsområden
De största förberedelsekostnaderna uppstår vanligtvis inte där ett dokument saknas, utan i gränssnitten mellan splittrade ansvarsområden. Det gäller särskilt relationen mellan IT och verksamheten, bolaget och koncernen, beställaren och leverantören samt processägaren och systemägaren. Om ingen part tydligt ansvarar för risker, incidenter, kontinuitet och tillhandahållande av bevis kvarstår bristen, även om rollerna formellt har fördelats.
Budgeten bör baseras på bristernas påverkan på tjänsten och risken för att organisationen inte kan visa att säkerhetsåtgärderna fungerar, inte på antalet saknade rutiner. Det är lämpligt att särredovisa gap-analys, organisatoriska insatser, tekniska åtgärder, tester, kompetensutveckling, leverantörshantering och själva revisionen. Tre nyckeltal är särskilt användbara för styrningen:
- antal kritiska brister som kräver investeringar eller avtalsändringar;
- förväntad införandetid för säkerhetsåtgärder som måste testas;
- andel av kostnaderna som avser modernisering av infrastruktur oberoende av själva efterlevnadskravet.
De mest svåråtgärdade bristerna kräver vanligtvis tekniska förändringar, omförhandling av avtal, återställningstester, kontroll över privilegierad åtkomst eller en omarbetning av processen för rapportering och eskalering av incidenter. De kan inte stängas på ett trovärdigt sätt enbart genom att en rutin godkänns. En molntjänstleverantör kan exempelvis uppge att omfattande säkerhetsåtgärder finns på plats, samtidigt som organisationen inte kan visa hur ansvaret är fördelat, vilken rätt den har till incidentinformation eller hur revisionsbevis ska inhämtas. Bristen berör då samtidigt avtalet, leverantörsstyrningen, tjänstearkitekturen och beredskapen att tillhandahålla bevis.
Före revisionen måste sådana brister stängas som undergräver förmågan att leverera tjänsten, hantera incidenter eller visa att en central säkerhetsåtgärd fungerar. För övriga brister kan en kontrollerad åtgärdsplan accepteras, förutsatt att den anger ansvarig, tidsfrist, resurser, interimistiska riskreducerande åtgärder och beslut om acceptans av kvarstående risk på rätt ledningsnivå. Uppgifter bör inte prioriteras bara för att de är enkla att markera som slutförda. Även valet mellan att köpa ett verktyg och förbättra en process måste utgå från bristens grundorsak, inte från tillgången till investeringsbudget.
Samma disciplin i ansvarsfördelningen är viktig inom det område som beskrivs i Så förbereder du teamet inför en kundrevision när APQP, PPAP och orsaksanalys krävs, även om bedömningskriterierna och grunden är andra.
Revisorn bedömer tillämpningen – inte pärmen
Ett dokument är bara början på beviskedjan. Revisorn ska kunna följa spåret från ett krav och en identifierad risk till processägaren, den tillämpade säkerhetsåtgärden, registreringen som visar att åtgärden har utförts, övervakningsresultatet och reaktionen på en konstaterad avvikelse. En policy, rutin eller instruktion visar inte i sig att styrningen är verksam. Det krävs objektiva bevis från organisationens normala verksamhet: ärenden, händelseloggar, godkännanden, testprotokoll, granskningsresultat, riskbeslut och slutförda korrigerande åtgärder.
Förberedelseprogrammet bör beskriva hur stickprov av verkliga fall ska väljas, inte bara vilka dokument som ska visas upp. Urvalet bör bland annat omfatta tilldelning och återkallelse av behörighet, sårbarhetshantering, en incident, dataåterställning, en systemändring, medarbetarutbildning, leverantörskvalificering och ledningens genomgång. För varje stickprov ska källan till registreringen, ansvarig person och kriteriet för verkan fastställas.
Det är lämpligt att jämföra antalet korrekta fall, avvikelser och fall där bevis saknas. När organisationen mäter prestation bör även svarstider och tider för att stänga incidenter samt resultaten från återställningstester, övningar och behörighetsgranskningar ingå. Lagringstiden för bevis ska göra det möjligt att bedöma processens stabilitet över tid och omfatta händelser som är betydelsefulla för riskbilden. Den bör inte fastställas enbart utifrån revisionsdatumet.
En rutin för återkallelse av behörigheter är inte tillräckligt bevis om ett stickprov av tidigare anställdas konton visar förseningar, fortfarande aktiva konton eller avsaknad av bekräftelse på genomförd åtgärd. Revisorn kan jämföra HR-data, serviceärenden, katalogposter och aktivitetsloggar. Bevis som genereras automatiskt av verktyg är värdefulla om organisationen kan visa att de är fullständiga, har tillförlitliga tidsstämplar och kan kopplas till ett specifikt fall. Beslut om riskacceptans, undantag, stängning av incidenter eller leverantörskvalificering kräver däremot en godkänd registrering där ansvar och mandat kan fastställas.
Den interna revisionsprövningen bör efterlikna den externa revisorns bedömningskedja: från kriterium och stickprov till bedömning av införande och verkan. Den får dock inte utföras av personer som granskar sitt eget arbete. Vid granskning av tredjepartsstyrning kan Leverantörsrevision inom kärnenergi – vad granskas och hur förbereds företaget inför kvalificering? ge relevant bakgrund, med beaktande av att kriterierna är andra.
Ett befintligt ledningssystem kan ge färdiga mekanismer för dokumentstyrning, internrevision, korrigerande åtgärder och ledningens genomgång. Dessa bör användas i stället för att skapa parallella arbetsflöden. Ett befintligt certifikat ersätter dock inte bevis på överensstämmelse med tillämpliga KSC-kriterier. Avgörande är om säkerhetsåtgärderna fungerar inom den fastställda omfattningen och om organisationen kan presentera samstämmiga och tillförlitliga bevis på att de tillämpas.
Leverantörerna ingår i omfattningen
Att lägga ut systemunderhåll, databehandling eller säkerhetsövervakning överför inte den väsentliga entitetens ansvar till leverantören. Leverantören kan genomföra säkerhetsåtgärder och hantera incidenter, men organisationen måste fortfarande förstå tjänstens risker, fastställa krav och visa att leverantören styrs och följs upp effektivt. Förberedelserna bör därför även omfatta externa tjänster som kontinuitet, informationens konfidentialitet eller systemens tillgänglighet är beroende av.
Bedömningens djup bör styras av leverantörens kritikalitet. Relevanta faktorer är ett avbrotts påverkan på tjänsten, omfattningen av åtkomst till information och system, möjligheten att ersätta leverantören, användningen av underleverantörer, platsen för behandlingen och den faktiska möjligheten att få tillgång till bevis. Leverantörer med begränsad påverkan kan bedömas genom frågeformulär och dokumentgranskning. För strategiska partner kan intervjuer, kontinuitetstester, analys av operativa registreringar eller andrapartsrevisioner vara motiverade.
Om en leverantör inte medger revisionsrätt bör organisationen fastställa alternativa bevis, bedöma den kvarstående risken och besluta om ytterligare säkerhetsåtgärder, omförhandling av avtalet eller en exitplan krävs. En försäkran från leverantören eller ett certifikat som leverantören innehar kan vara otillräckligt om det inte omfattar rätt tjänst, plats eller operativ omfattning.
En typisk brist uppstår när avtalet reglerar tjänstens tillgänglighet men inte tidsfristen för incidentrapportering, formerna för samarbete vid orsaksanalys eller rätten att verifiera leverantörens åtgärder. Detta är inte bara en formell brist. Utan sådana villkor kanske organisationen inte får den information som behövs i tid för att bedöma konsekvenserna, fatta beslut och ge revisorn en sammanhängande redogörelse för incidenthanteringen. En avtalsbrist kan inte åtgärdas enbart med en intern rutin.
Granskningen av avtal och säkerhetsbilagor bör omfatta informationsskydd, incidentrapportering, verksamhetskontinuitet, underleverantörer, avveckling av samarbetet, återlämning eller radering av data, tillgång till bevis och former för verifiering. Förberedelserna kan följas upp genom antalet kritiska leverantörer, andelen partner med aktuell riskbedömning och dokumenterad uppföljning, antalet avtal som behöver kompletteras samt tjänster som saknar bekräftad kontinuitets- eller exitplan. Metoden för fördjupad verifiering beskrivs närmare i materialet Så förbereder du företaget för en andrapartsrevision hos en kritisk leverantör.
Planen fram till den första bedömningen
Förberedelseprogrammet bör följa en fast ordning: bekräfta entitetens status och tillämpliga rättsliga kriterier, fastställ gränserna för den miljö som ska bedömas, fördela ansvar, genomför risk- och gap-analys och godkänn därefter åtgärdsplanen. En förberedande revision är motiverad först när åtgärderna har införts och det finns registreringar som visar hur de fungerar. Resultaten ska leda till att grundorsakerna till avvikelserna åtgärdas, inte bara symptomen, och därefter till en avslutande ledningsgenomgång av revisionsberedskapen.
Tidplanen ska byggas bakåt från den tidsfrist som följer av gällande bestämmelser eller ett formellt beslut för den aktuella entiteten. Det finns ingen gemensam säker starttidpunkt för alla organisationer. Den beror på rättslig status, teknisk omfattning, säkerhetsåtgärdernas mognad, antalet externa beroenden och den tid som krävs för att skapa registreringar som visar faktisk tillämpning. Ledningen bör godkänna prioriteringarna utifrån riskernas betydelse och beroendena mellan aktiviteter, inte utifrån hur lätt en punkt kan stängas i projektplanen.
En aktivitet som markeras som slutförd när rutinen publiceras är i praktiken fortfarande öppen tills rutinen har införts, verifierats på ett representativt stickprov och styrkts genom registreringar. Detsamma gäller tekniska säkerhetsåtgärder, incidenthantering, kontinuitetsplaner och leverantörsstyrning. Revisionsberedskap kräver bevis på en fullständig styrningscykel: beslut, genomförande, kontroll av resultatet och reaktion på konstaterade avvikelser. Om bristen gäller villkoren för samarbetet med en extern part kan Leverantörsrevision före avtalstecknande – så minskar du kvalitets- och leveransrisker ge användbar vägledning.
Rapporteringen till ledningen bör inte begränsas till hur stor andel av planen som har genomförts. Ledningsinformationen bör visa:
- antal brister per allvarlighetsgrad, med ansvarig och tidsfrist för stängning;
- andelen säkerhetsåtgärder som har verifierats genom registreringar;
- öppna risker som har accepterats på rätt ledningsnivå;
- hinder såsom avsaknad av ansvarig, säkerhetsåtgärder som inte har införts, planer som inte har testats, avtal som inte har överenskommits eller brister som saknar trovärdiga bevis på stängning.
Processen för att välja revisionsutförare bör inledas i god tid, men först efter att de aktuella KSC-kraven på utföraren och dokumentationen av resultaten har verifierats. Priset får inte vara det enda urvalskriteriet. Organisationen bör bedöma erforderliga behörigheter, oberoende, sektorskompetens, metodik och förmåga att granska den faktiska tekniska miljön. Att utse utföraren ersätter varken den förberedande revisionen eller ledningens genomgång. Det slutför endast den organisatoriska delen av förberedelserna inför den formella bedömningen.
Den första KSC-revisionen bör behandlas som en bedömning av organisationens förmåga att styra säkerheten i sina tjänster, inte som en engångsgranskning av dokumentation. Entiteten är redo först när den kan motivera sin status och omfattning, identifiera riskägare, visa att säkerhetsåtgärderna fungerar och presentera tillförlitliga bevis på styrningen av processer och leverantörer.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
