NIS2 ersätter det ursprungliga NIS-direktivet från 2016 om nätverks- och informationssäkerhet. Betydligt fler organisationer och sektorer berörs av NIS 2 jämfört med NIS – Europeiska kommissionen uppskattar att cirka 160 000 organisationer kommer att påverkas av NIS2 omedelbart.

Förutom typiska infrastruktursektorer som energi, transporter, telekom, avfallshantering, datacenter och liknande, adderas det som utgör kritisk nationell infrastruktur, exempelvis hälso- och sjukvård (inklusive forskning), digitala tjänster och en rad tillverkningsföretag inklusive livsmedel, kemikalier och fordonsindustrin.

Blir en nyckelfaktor

Enligt David Moser är den viktigaste förändringen för säkerhets- och fastighetschefer att ta hänsyn till övergången till en “all-hazards approach” för reglering.

– I praktiken tvingar denna metod berörda organisationer att förstärka sina digitala säkerhetsåtgärder med ytterligare processer och enheter som fysiskt skyddar säkerheten för deras digitala infrastruktur, säger han.

David Moser menar att cyber-fysisk motståndskraft och ökad konvergens mellan cyber- och fysiska säkerhetsteams verksamhet och mål blir en nyckelfaktor för att adressera ökningen av antalet hybrida cyber-fysiska attacker, men också att de blir alltmer sofistikerade.

Krav på tillträdesskydd – både digitalt och fysiskt

David Moser framhåller särskilt att enligt artikel 21 i NIS2 måste ”lämpliga och proportionella tekniska, operativa och organisatoriska åtgärder för att hantera säkerhetsriskerna för nätverks- och informationssystem vidtas” och “för att förhindra eller minimera effekterna av säkerhetsincidenter för mottagarna av deras tjänster och på andra tjänster”.

– Med andra ord måste alla områden på en plats där illvilliga aktörer kan få fysisk access till digital infrastruktur, oavsett om det är IoT-enheter, terminaler för accesshantering, servrar eller något annat, nu ha lämpligt skydd mot digitala, fysiska och hybrida attacker. Passerkontrollenheter och protokoll måste vara kapabla till denna uppgift, säger David Moser.

Straffen för bristande efterlevnad av NIS2 kan bli stränga: organisationer kan få böter på upp till 10 miljoner euro, eller 2 procent av sin globala årsomsättning.

– Äldre låssystem utgör därför en stor ansvarsrisk för många organisationer, säger David Moser.

NIS2:s inverkan på arbetsflöden för passerkontroll

Åtgärder för att implementera och övervaka processer som är “all-hazards”- compliant inkluderar finjustering av riskanalyser för digitala enheter på plats; säkerhetsåtgärder i leveranskedjan, inklusive säkrare upphandling och datahantering; fysisk access för personal, inklusive anställda och besökare; utbildning i cyberhygien; planering för affärskontinuitet i händelse av ett dataintrång; med mera, enligt David Moser.

– Därför bör säkerhetsteam snarast utvärdera sin befintliga cyber-fysiska motståndskraft för att snabbt identifiera områden där ytterligare åtgärder eller uppgraderingar behövs, säger han.

ID-hantering viktig

Accesshantering är en viktig del för efterlevnad av NIS2.

– Intelligenta accesslösningar kan bidra till att förbättra cyber-fysisk motståndskraft med till exempel förbättrad identitetshantering, granskningsbarhet och fjärrstyrning av byggnader dygnet runt, säger David Moser.

Vidare menar han att autentiseringsuppgifter som kräver regelbunden omvalidering och/eller upphör automatiskt, drastiskt minskar risken för obehöriga nycklar i omlopp – ytterligare en potentiell sårbarhet för digital infrastruktur.

Återställa uppgifter

David Moser framhåller tillverkarnas roll när det gäller att underlätta efterlevnad av NIS2.

– Digitala accesslösningar från Assa Abloy ger dig möjlighet att säkra varje lager och kan bidra avsevärt till att uppnå efterlevnad av NIS2-direktivet. De hjälper till att skydda organisationer och data genom att möjliggöra kontroll över vem som går vart och när för varje användare, med möjlighet att omedelbart återställa förlorade inloggningsuppgifter.

– De stöder både online- och offline-passerkontroll, vilket förbättrar arbetsflöden genom flexibel hantering – oavsett om det sker på distans eller på plats, säger David Moser.

Stäng ”bakdörrar”

Slutligen menar han att fysisk access ofta anses vara en av de största bakdörrarna för cyberbrottslingar i en tid av växande hybridattacker.

– Att stänga den med förbättringar av digital access säkerställer att NIS2-skyldigheterna uppfylls – och gör att säkerhetsbeslutsfattare slipper oro för compliance.