Vincent Dupart betonar det grundläggande behovet av att miljöerna kring digitala system – exempelvis kontor, datacenter och fabriker – måste säkras mot intrång. Det fysiska skyddet är cybersäkerhetens första försvarslinje, och denna syn delas av de senaste årens EU-regelverk, menar han.

Hybridattacker

Under alltför lång tid har cybersäkerhet betraktats isolerat, med fokus enbart på mjukvarubaserade attacker, enligt Vincent Dupart.

– Men fysiska attacker är mycket verkliga och fungerar ofta som vektor eller förstärkning för cyberattacker – det vi i dag kallar hybrida attacker.

Angrepp mot telekomanläggningar

Han exemplifierar med hackergrupper som Killnet och Sandworm, som i allt högre grad kombinerar cyber- och fysiska intrång för att sabotera kritisk infrastruktur, särskilt i regioner som präglas av krig eller geopolitiska spänningar.

– År 2023 skadades till exempel franska telekomanläggningar avsiktligt, vilket störde uppkopplingen för sjukhus och lokala myndigheter.

Fysiska intrång – ett allvarligt cyberhot

Den ekonomiska påverkan av ett fysiskt intrång eller sabotage kan uppgå till flera miljoner euro, genom driftstopp, GDPR-sanktioner eller förlorat kundförtroende. Nya studier visar att 60 procent av organisationerna upplevde minst ett fysiskt säkerhetsintrång under det senaste året, med en genomsnittlig kostnad på 450 000 dollar för ett mindre eller medelstort företag.

– Fysisk säkerhet är därför inte bara en regulatorisk skyldighet, utan ett strategiskt imperativ – den grund som cybersäkerheten vilar på. Den får inte förbises.

NIS2 för cybersäkrad kritisk infrastruktur

Mot denna bakgrund välkomnar Vincent Dupart NIS2-direktivet, som nu implementeras i EU-ländernas lagstiftning. NIS2 syftar till att stärka cybersäkerheten inom 18 kritiska sektorer, inklusive offentlig förvaltning, hälso- och sjukvård, forskning, transport och bankverksamhet.

Direktivet skiljer mellan två kategorier:

• Väsentliga verksamheter – över 250 anställda eller en årlig omsättning över 50 miljoner euro.
• Viktiga verksamheter – över 50 anställda eller en årlig omsättning över 10 miljoner euro.

CRA höjer ribban

Det som markerar en verklig vändpunkt är införandet av uttryckliga krav på fysisk säkerhet i efterlevnadsplikterna, enligt Vincent Dupart. Han betonar att väsentliga verksamheter nu måste implementera tillträdeskontrollmekanismer, såsom videoövervakning, väktare och larm, samt strikt hantering av behörigheter och spårbarhet för både intern och extern tillträdeskontroll.

– CRA går ännu längre genom att kräva att hårdvaru- och mjukvarutillverkare integrerar fysisk säkerhet redan från designstadiet och genom hela produktens livscykel, säger han.

Fysisk säkerhet är nu ett regulatoriskt krav

Denna utveckling återspeglas i efterlevnadsramverk som används för Secnumcloud-certifiering och för sektorsspecifika standarder (OIV, OSE), där skydd av tekniska utrymmen, serverrum och fysiska åtkomstpunkter betonas.

– Fysisk säkerhet är nu ett tydligt regulatoriskt krav för alla väsentliga enheter, konstaterar han.

Mot en enad säkerhetsvision

Vincent Dupart uttrycker stor tillfredsställelse över att EU genom NIS2 och CRA åter placerar den fysiska säkerheten i centrum för cybersäkerheten.

– Detta är ett erkännande av att skyddet av våra accesspunkter, infrastrukturer och miljöer är avgörande för att stärka det digitala förtroendet, säger han och avslutar:

– Genom att positionera fysisk säkerhet som den första försvarslinjen banar Europa väg för ett mer heltäckande, robust och pålitligt cybersäkerhetsramverk.