NIS2 og backup — hvad kravet konkret betyder for din virksomhed

NIS2 er blevet et ord, man siger til møder, uden at nogen helt kan sige, hvad det betyder for backup. Det er ærgerligt, for direktivet nævner faktisk backup direkte, og kravene er mindre eksotiske, end frygten antyder. Til gengæld er afgrænsningen — hvem der er omfattet — reelt kompliceret.

Vær opmærksom på, at det følgende er en generel orientering og ikke juridisk rådgivning. Om jeres virksomhed er omfattet, og hvad det i givet fald indebærer, bør vurderes konkret af en rådgiver eller den relevante myndighed.

Hvad er NIS2, og hvad har det med backup at gøre?

NIS2 er EU-direktiv 2022/2555 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i Unionen, i Danmark implementeret ved lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau. Direktivets artikel 21 opregner de risikostyringsforanstaltninger, omfattede enheder skal træffe, og backup-styring, katastrofeberedskab og krisestyring står eksplicit på listen.

Det er værd at hæfte sig ved formuleringen. Kravet handler om styring — altså at der findes politikker, procedurer og dokumentation omkring backup — ikke kun om, at der teknisk set tages kopier. En virksomhed kan have fremragende backup og alligevel ikke kunne redegøre for den, og det er redegørelsen, tilsynet spørger til.

Artikel 21 nævner backup i selskab med en række andre foranstaltninger: risikoanalyse, håndtering af hændelser, forsyningskædesikkerhed, sikkerhed i indkøb og udvikling, evaluering af foranstaltningernes effektivitet, kryptografi, adgangsstyring og flerfaktorgodkendelse. Backup står altså ikke alene, men den er en af de få, hvor et konkret teknisk produkt er den direkte konsekvens.

Hvem er omfattet?

NIS2 gælder for væsentlige og vigtige enheder i de sektorer, direktivet udpeger, og afgrænsningen bygger på en kombination af sektor, virksomhedsstørrelse og i visse tilfælde virksomhedens rolle uanset størrelse. Sektorerne omfatter blandt andet energi, transport, sundhed, drikke- og spildevand, digital infrastruktur, offentlig forvaltning, fremstilling af visse produkttyper, affaldshåndtering, fødevarer og digitale tjenester.

Kategoriseringen som væsentlig eller vigtig enhed har betydning for tilsynsformen. For væsentlige enheder er tilsynet som udgangspunkt proaktivt, mens tilsynet med vigtige enheder i højere grad er efterfølgende og hændelsesdrevet. Begge kategorier er underlagt de samme grundlæggende krav i artikel 21.

Her er den vigtige nuance: mange virksomheder, der ikke selv er omfattede enheder, mærker alligevel kravene. Direktivet stiller krav om, at omfattede enheder styrer risici i deres forsyningskæde, og det oversættes i praksis til kontraktvilkår og leverandørspørgeskemaer, der ruller nedad. En it-leverandør, en underentreprenør eller en databehandler til en omfattet virksomhed vil derfor typisk blive bedt om at dokumentere netop backup, opbevaring og gendannelsesevne — uden selv at være direkte reguleret.

Om jeres virksomhed er omfattet, kan ikke afgøres ud fra en artikel som denne. Få det vurderet.

Hvad kræves der konkret af backup?

Direktivet er teknologineutralt og stiller krav om foranstaltninger, der er passende og står i rimeligt forhold til risikoen — ikke om bestemte produkter, intervaller eller opbevaringsperioder. Det er både en lettelse og en byrde: der er ingen facitliste at følge, men der er heller ingen at gemme sig bag.

I praksis betyder proportionalitetsprincippet, at kravene til en virksomhed med tre kontormedarbejdere ikke ligner kravene til et forsyningsselskab med driftskritisk SCADA. Fælles er, at valget skal kunne begrundes. Kan I forklare, hvorfor daglig backup med 30 dages historik er passende for netop jeres risikobillede, er I langt. Kan I ikke forklare, hvorfor der ikke tages backup af et system, er I det modsatte sted.

Den sidste række er den, flest springer over. En backup, der aldrig er gendannet fra, er ikke evalueret, og evaluering af foranstaltningernes effektivitet er et selvstændigt punkt i artikel 21. Test er med andre ord ikke kun god skik — det er en del af kravet.

Hvordan omsætter man det til drift?

Det praktiske arbejde starter med en fortegnelse over systemer og data, fordi ingen af de øvrige krav kan opfyldes uden at vide, hvad der findes. Det lyder trivielt, og det er det aldrig. Der dukker altid en virtuel maskine op, som ingen har rørt siden 2021, og som en produktionslinje viser sig at afhænge af.

Når fortegnelsen er på plads, giver resten sig selv i rækkefølge. Hvert system får et RPO og et RTO — hvor meget data må gå tabt, og hvor længe må der gå, før det kører igen. De to tal driver alt andet: backupfrekvensen følger af RPO, og valget mellem filbaseret og maskinbaseret backup følger af RTO. Skal en server være oppe på to timer, er en filbackup ikke svaret; se server-backup og backup af virtuelle maskiner.

Derefter opbevaring og placering. Hvor længe skal historikken række, og hvor ligger kopierne fysisk? Placeringen er ikke et NIS2-krav i sig selv, men den indgår i risikovurderingen og er ofte et selvstændigt ønske hos danske kunder. Endelig adgangsstyringen: backupsystemet skal have sine egne konti og flerfaktorgodkendelse, netop fordi det er det system, en angriber går efter først — hvilket er gennemgået i artiklen om ransomware og backup.

Læg til sidst en fast kadence for test og for rapportering til ledelsen. Ansvaret for cybersikkerhedsrisikostyring ligger hos ledelsen, som også skal godkende foranstaltningerne, og et kvartalsvist punkt med tre linjer om backupstatus er en billig måde at gøre det ansvar reelt.

Hvad med underretningspligt og hændelser?

NIS2 indfører en underretningspligt ved væsentlige hændelser med korte frister, hvor en første indberetning skal ske hurtigt efter, at hændelsen er konstateret, efterfulgt af mere fyldig rapportering. Det er en anden pligt end anmeldelse af brud på persondatasikkerheden til Datatilsynet efter databeskyttelsesforordningen, og de to kan udløses af samme hændelse samtidig.

For backup betyder det først og fremmest, at gendannelsen skal kunne foregå, uden at den ødelægger dokumentationen. Beslut på forhånd, hvem der taler med hvem, hvem der vurderer indberetningspligten, og hvordan der tages en kopi af det angrebne miljø, før det overskrives. Frister på timer er ubarmhjertige over for organisationer, der først skal finde ud af, hvem der har mandatet.

De konkrete frister og procedurer bør I få gennemgået med jeres rådgiver, og de kan variere med hændelsestype og myndighed. Igen: dette er en orientering, ikke rådgivning.

Kom videre uden at overkomplicere det

De fleste virksomheder er tættere på kravene, end de tror — det, der mangler, er som regel dokumentationen og testen, ikke teknikken. Backuppen kører allerede. Den er bare aldrig blevet beskrevet, prioriteret eller prøvet af.

En brugbar første indsats: skriv en side, der lister systemerne, deres RPO og RTO, hvor kopierne ligger, hvem der har adgang, og hvornår der sidst er testet. Kør derefter en gendannelsestest og skriv resultatet ned med dato. Den ene side og den ene test flytter mere i en tilsynssituation og i en leverandørvurdering end det meste andet, I kan bruge et kvartal på.

Skal opsætningen justeres for at nå dertil, er det oftest opbevaringstid, uforanderlighed og dækning af de systemer, der er faldet uden for, der skal rettes. Hvad det koster, afhænger primært af datamængde og historik — se priser — og hvordan udbyderne adskiller sig på netop opbevaring og adgangsstyring, er gennemgået under sammenlign.