NIS2 erstatter det opprinnelige NIS-direktivet fra 2016 om nettverks- og informasjonssikkerhet. Betydelig flere organisasjoner og sektorer omfattes av NIS2 sammenlignet med NIS – Europakommisjonen anslår at rundt 160 000 organisasjoner vil bli berørt av NIS2 umiddelbart.

I tillegg til typiske infrastruktursektorer som energi, transport, telekom, avfallshåndtering, datasentre og lignende, omfattes også det som regnes som kritisk nasjonal infrastruktur, for eksempel helse- og omsorgstjenester (inkludert forskning), digitale tjenester og en rekke industrivirksomheter, herunder næringsmiddel-, kjemikalie- og bilindustrien.

Blir en nøkkelfaktor

Ifølge David Moser er den viktigste endringen for sikkerhets- og eiendomssjefer å ta hensyn til overgangen til en «all-hazards approach» i reguleringen.

– I praksis tvinger denne tilnærmingen berørte organisasjoner til å styrke sine digitale sikkerhetstiltak med ytterligere prosesser og løsninger som også fysisk beskytter den digitale infrastrukturen, sier han.

David Moser mener at cyberfysisk motstandsdyktighet og økt konvergens mellom cyber- og fysiske sikkerhetsteam – både i arbeidsform og målsetting – blir en nøkkelfaktor for å håndtere økningen i hybride cyberfysiske angrep, som samtidig blir stadig mer sofistikerte.

Krav til adgangsbeskyttelse – både digitalt og fysisk

David Moser fremhever særlig at det i henhold til artikkel 21 i NIS2 må iverksettes «egnede og forholdsmessige tekniske, operative og organisatoriske tiltak for å håndtere sikkerhetsrisikoene for nettverks- og informasjonssystemer» og «for å forhindre eller minimere konsekvensene av sikkerhetshendelser for mottakere av tjenestene og for andre tjenester».

– Med andre ord må alle områder der ondsinnede aktører kan få fysisk tilgang til digital infrastruktur – enten det gjelder IoT-enheter, terminaler for adgangshåndtering, servere eller annet – ha egnet beskyttelse mot digitale, fysiske og hybride angrep. Adgangskontrollenheter og protokoller må være i stand til å ivareta dette, sier David Moser.

Straffene for manglende etterlevelse av NIS2 kan bli betydelige: organisasjoner kan ilegges bøter på opptil 10 millioner euro, eller 2 prosent av global årlig omsetning.

– Eldre låssystemer utgjør derfor en betydelig ansvarsrisiko for mange organisasjoner, sier David Moser.

NIS2s innvirkning på arbeidsflyter for adgangskontroll

Tiltak for å implementere og overvåke prosesser som er i samsvar med «all-hazards»-tilnærmingen inkluderer blant annet finjustering av risikoanalyser for digitale enheter på stedet, styrket sikkerhet i leverandørkjeden – inkludert tryggere anskaffelser og datahåndtering – fysisk adgang for ansatte og besøkende, opplæring i cyberhygiene samt planlegging for forretningskontinuitet ved datainnbrudd, ifølge David Moser.

– Derfor bør sikkerhetsteam så raskt som mulig evaluere sin eksisterende cyberfysiske motstandsdyktighet for å identifisere områder der ytterligere tiltak eller oppgraderinger er nødvendige, sier han.

ID-håndtering er viktig

Adgangshåndtering er en sentral del av etterlevelse av NIS2.

– Intelligente adgangsløsninger kan bidra til økt cyberfysisk motstandsdyktighet, blant annet gjennom forbedret identitetshåndtering, sporbarhet og fjernstyring av bygninger døgnet rundt, sier David Moser.

Videre påpeker han at autentiseringsopplysninger som krever regelmessig revalidering og/eller utløper automatisk, reduserer risikoen for uautoriserte nøkler i omløp betydelig – en ytterligere potensiell sårbarhet for digital infrastruktur.

Tilbakekalling av adgangsopplysninger

David Moser understreker produsentenes rolle i å legge til rette for etterlevelse av NIS2.

– Digitale adgangsløsninger fra Assa Abloy gjør det mulig å sikre hvert lag og kan bidra vesentlig til etterlevelse av NIS2-direktivet. De beskytter organisasjoner og data ved å gi kontroll over hvem som har adgang hvor og når, med mulighet for umiddelbar tilbakekalling av tapte adgangsopplysninger.

– Løsningene støtter både online- og offline-adgangskontroll, noe som gir mer fleksible arbeidsflyter – enten håndteringen skjer eksternt eller på stedet, sier David Moser.

Lukk «bakdører»

Avslutningsvis påpeker han at fysisk adgang ofte regnes som en av de største bakdørene for cyberkriminelle i en tid med økende hybride angrep.

– Å lukke denne gjennom forbedret digital adgang sikrer at NIS2-forpliktelsene oppfylles – og gir sikkerhetsansvarlige trygghet når det gjelder etterlevelse.