NIS2-compliance: Komplet tjekliste for danske virksomheder

NIS2-direktivet er ikke længere noget der kommer engang. Det er her — og det gælder for langt flere danske virksomheder end de fleste tror.

Hvad er NIS2 — og hvem er omfattet?

NIS2 (Network and Information Systems Directive 2) er EU's opdaterede direktiv om cybersikkerhed. Du er sandsynligvis omfattet hvis din virksomhed:

Har mere end 50 ansatte eller en omsætning over 10 mio. EUR

Opererer inden for energi, transport, sundhed, digital infrastruktur, offentlig administration, fødevarer, produktion eller finansielle tjenester

Er underleverandør til en virksomhed der er direkte omfattet

NIS2 skelner mellem væsentlige enheder og vigtige enheder. Begge er underlagt krav — bøder op til 10 mio. EUR eller 2% af global omsætning. Ledelsen er personligt ansvarlig.

Hvad kræver NIS2 konkret?

1. Risikovurdering og sikkerhedspolitikker

Dokumenteret risikovurdering der opdateres løbende, og en godkendt sikkerhedspolitik forankret i ledelsen.

2. Tekniske sikkerhedsforanstaltninger

Adgangsstyring (MFA), kryptering, netværkssikkerhed, patch-management og sikker DNS-infrastruktur med DNSSEC, SPF, DKIM og DMARC.

3. Hændelseshåndtering og rapportering

Alvorlige hændelser rapporteres til myndighederne inden 24 timer. Fuld rapport inden 72 timer.

4. Forsyningskædesikkerhed

Krav til leverandørstyring — sikkerhedskrav skal fremgå af kontrakter.

DNS er en kritisk del af NIS2

Mange virksomheder glemmer at DNS er en del af den kritiske digitale infrastruktur. NIS2 kræver at du har styr på:

DNSSEC — kryptografisk signering der forhindrer DNS-spoofing

SPF, DKIM og DMARC — forhindrer at dit domæne misbruges til phishing

Domæneovervågning — advarsler ved uautoriserede ændringer eller udløb

Ændringslog — dokumentation af alle DNS-ændringer til revision

HurraDNS aktiverer DNSSEC automatisk og leverer komplet ændringslog.

NIS2 gap-assessment tjekliste

Ledelse og ansvar

Grundlæggende: Ledelsen har godkendt en NIS2-ansvarlig (CISO eller tilsvarende)

Grundlæggende: Kontaktperson til myndighederne (CFCS) er udpeget

Modent: Cybersikkerhed på bestyrelsens dagsorden mindst 2x årligt

Modent: Sikkerhedspolitik godkendt inden for de seneste 12 måneder

Risikovurdering

Grundlæggende: Årlig risikovurdering med dokumenteret metode

Grundlæggende: Kritiske aktiver er identificeret og klassificeret

Modent: Risikovurdering dækker forsyningskæden

Avanceret: Restrisici dokumenteret og accepteret af ledelsen

Tekniske sikkerhedsforanstaltninger

Grundlæggende: MFA aktiveret på alle kritiske systemer

Grundlæggende: Patch-management inden 30 dage

Modent: Netværkssegmentering implementeret

Modent: Logning og overvågning aktiv på kritiske systemer

Avanceret: Penetrationstest mindst én gang om året

Grundlæggende: DNSSEC aktiveret på alle domæner (HurraDNS: automatisk)

Grundlæggende: SPF, DKIM og DMARC konfigureret (HurraDNS: automatisk tjek)

Hændelseshåndtering

Grundlæggende: Dokumenteret hændelsesrespons-procedure med roller og eskalering

Grundlæggende: Rapportering til CFCS inden 24 timer

Modent: Mindst ét beredskabsøvelse om året

Avanceret: Post-mortem analyse dokumenteres efter hændelser

Forsyningskæde og leverandører

Grundlæggende: Alle kritiske leverandører identificeret

Modent: Sikkerhedskrav i leverandøraftaler (SLA/DPA)

Avanceret: Leverandørers sikkerhed vurderes løbende

Kontinuitet og backup

Grundlæggende: Backup-procedure med kvartalsvis test

Modent: RTO og RPO defineret for kritiske systemer

Avanceret: Business continuity plan godkendt af ledelsen

Hvad gør du nu?

Skridt 1: Afklar om du er omfattet — kontakt CFCS eller en juridisk rådgiver ved tvivl.

Skridt 2: Lav en gap-analyse med tjeklisten ovenfor. Start med de grundlæggende punkter.

Skridt 3: Få styr på din DNS-infrastruktur — et af de nemmeste og vigtigste trin.

Skridt 4: Forankr det i ledelsen — NIS2 er et ledelsesansvar, ikke kun et IT-projekt.

Kom i gang med HurraDNS

HurraDNS giver dig automatisk DNSSEC, SPF/DKIM/DMARC-tjek, domæneovervågning og komplet ændringslog — alt hvad du behøver for den DNS-relaterede del af dine NIS2-krav.

Opret en gratis konto på hurradns.dk og kom i gang i dag.

Har du spørgsmål til NIS2 og DNS-sikkerhed? Skriv til os på info@hurradns.dk