Egen praktisk vägledning. Granska omfattning och aktuella krav med kvalificerade rådgivare. Resurserna bevisar inte efterlevnad.
Fastställ tillämpningen först
NIS2 är ett EU-direktiv som genomförs genom nationell lagstiftning. Bekräfta jurisdiktion, omfattning och aktuell tillsynsvägledning med kvalificerade rådgivare. Checklistan är framtagen av CSF som stöd för diskussionen. Den är inte en fullständig beskrivning av rättsliga krav. ENISA:s tekniska vägledning för vissa digitala sektorer har en definierad omfattning och ska inte antas gälla likadant för alla organisationer.
Styrning och ansvar
- Vilka tjänster och enheter ingår, och vem godkände bedömningen?
- Vem ansvarar för cyberriskbeslut och rapportering till ledningen?
- Vilka policyer fungerar i praktiken, och när granskades de senast?
- Har åtgärdsplanen resurser, ansvariga och granskningsdatum?
Dokumentera underlag, datum och ansvarig för varje svar. Skilj ett obekräftat påstående från en testad skyddsåtgärd.
Verksamhet och leverantörer
- Kan ni visa åtkomstgranskningar, sårbarhetshantering och säkra ändringar?
- Vilka leverantörer stödjer kritiska tjänster, och vem granskar deras underlag?
- Är säkerhetskopior skyddade och återställningstester dokumenterade?
- Vilka beroenden kan hindra återställning även när era egna system fungerar?
Börja med verksamhetskritiska tjänster. Testa rutiner med representativa urval och utöka granskningen när underlag visar ojämnt genomförande.
Incidenter och kontinuitet
- Är incidentroller, eskalering och externa kontakter aktuella?
- Har teamet övat ett realistiskt incidentscenario?
- Vem avgör om en incident utlöser rapporteringsskyldighet?
- Har rapporteringskraven kontrollerats mot aktuella nationella regler?
Förlita er inte på en generell rapporteringstid utan att kontrollera händelse, jurisdiktion och skyldighet.
Omsätt iakttagelser i åtgärder
Ange för varje bedömningspunkt om kravet är styrkt, delvis styrkt, inte styrkt eller inte tillämpligt. Motivera bedömningen. Beskriv vilken risk en brist medför, vem som ansvarar för åtgärden, tidsfristen och hur genomförandet ska verifieras. Diskutera kvarvarande risk med behörig beslutsfattare. Upprepa granskningen efter väsentliga ändringar; en engångschecklista ger inte kontinuerlig säkerhet.
