Hoe Protinus de Zweedse energiesector helpt NIS2 aan te pakken

Anders Åhlgren is geen typische consultant. Met tientallen jaren ervaring in informatiebeveiligingsbeheer en het adviseren van de Europese Commissie over de netwerkcode voor cyberbeveiliging voor de Europese elektrische energiesector, parallel aan de NIS2-richtlijn, en als lid van de Smart Grid Task Force van de EU-Commissie, brengt hij zowel beleidsexpertise als praktisch pragmatisme naar elke opdracht.

Tegenwoordig is hij via zijn adviesbureau Protinus fractioneel Chief Information Security Officer (CISO) voor 12 energiebedrijven in Zweden. De meeste van deze bedrijven zijn klein, vaak minder dan 40 werknemers, maar ze hebben te maken met dezelfde compliancelasten als veel grotere ondernemingen.

Om aan deze eisen te voldoen zonder de kosten of complexiteit op te drijven, vertrouwt Anders op Cyberday.

"Cyberday is een onderdeel van mijn aanbod. Ik zeg tegen klanten: ja, je kunt dit ook zonder, maar het wordt een hoop werk."

Laag bewustzijn, hoge inzet

Wanneer Anders aan de slag gaat met een nieuwe klant, kan hij een bekende reeks uitdagingen aantreffen: een lage mate van volwassenheid op het gebied van cyberbeveiliging, beperkte interne expertise en leiderschapsteams die het belang en de reikwijdte van de vereisten onderschatten.

"Het kennisniveau kan laag zijn", zegt hij. "De leiding is misschien niet erg geïnteresseerd. En er zijn geen regels. Weinig beleid en een gebrek aan eigenaarschap."

Toch neemt de druk van de regelgeving toe. Hoewel Zweden zijn nationale versie van de NIS2-richtlijn nog moet publiceren, staan de verplichtingen op EU-niveau al op de radar van Anders en zijn klanten.

Helaas hebben veel bedrijven moeite om zelfs maar te beginnen zonder een duidelijk kader of workflow. "Eén klant probeerde het zonder mij en het eindigde zonder enige vooruitgang," herinnert Anders zich.

Cyberday als ruggengraat van Protinus

Cyberday werd bijna per ongeluk onderdeel van Anders' consultingtoolkit. Een van zijn eerste freelance klanten had het al geïmplementeerd en er werd van hem verwacht dat hij het zou laten werken.

"In het begin was het een vreselijke tijd," lacht hij. "Maar toen begon ik ervan te houden. Ik realiseerde me dat het veel problemen voor de energiesector kon oplossen."

Tegenwoordig is Cyberday ingebed in zijn adviespraktijk. Elke Protinus-klant begint op dezelfde manier: vertrouwd raken met de tool, het NIS2-raamwerk activeren en geleidelijk het beheersysteem voor informatiebeveiliging (ISMS) uitbouwen.

Anders werkt met klanten op afstand, meestal één keer per week een paar uur online. Tussendoor blijft hij beschikbaar via e-mail en kan hij hun Cyberday direct ondersteunen.

Hoe het werkt: Anders' NIS2 volwassenheidsmodel

Anders volgt een stapsgewijs volwassenheidsmodel om organisaties te helpen geleidelijk een werkend ISMS op te zetten dat is afgestemd op NIS2. Het proces omvat vijf fasen, van de eerste opzet tot volledige optimalisatie. Dit is hoe hij zijn klanten er doorheen loodst aan de hand van Cyberday:

1. Initieel

" Cyberday instellen in Teams."
Klanten krijgen eerst toegang tot Cyberday en beginnen het te verkennen in hun Microsoft Teams-omgeving. Zo raken ze vertrouwd met de tool in hun dagelijkse workflow.

2. Beheerd

"Doorloop de 104 taken voor NIS2."
De volgende stap is het activeren van het NIS2-framework in Cyberday. Klanten beginnen met het voltooien van de 104 gerelateerde taken, waarmee ze kennismaken met de reikwijdte van de compliancevereisten en waarmee momentum wordt opgebouwd.

3. Gedefinieerd

"Wijs thema-eigenaren aan en voer een interne audit uit."
Naarmate ze vorderen, moedigt Anders klanten aan om verantwoordelijkheid te delegeren door thema-eigenaren aan te wijzen voor HR, leveranciers, plannen, enz. Dit verdeelt het werk en zorgt voor gedeelde verantwoordelijkheid. In dit stadium voeren ze ook een basis interne audit uit.

4. Kwantitatief beheerd

"Auditbevindingen aanpakken en de personeelsgids lanceren."
Hier begint het team met het dichten van geïdentificeerde hiaten. Ze pakken alle non-conformiteiten van de audit aan en maken een handleiding in Cyberday om de voortdurende training van het personeel te ondersteunen.

5. optimaliseren

"ISMS is nu vastgesteld."
In deze laatste fase is het ISMS operationeel en ingebed in het dagelijkse werk. Organisaties zijn aan het managen:

• Afwijkingen en incidenten
• Voortdurende verbeteringen
• Opleiding van personeel
• Controles door leveranciers
• Interne audits
• Managementbeoordelingen