Så hjälper Protinus Sveriges energisektor att tackla NIS2

Anders Åhlgren är inte en typisk konsult. Med decennier av erfarenhet av informationssäkerhetshantering och rådgivning till EU-kommissionen om Network Code on Cybersecurity for the European Electrical Energy Sector parallellt med NIS2-direktivet samt medlem i EU-kommissionens Smart Grid Task Force, tillför han både politisk expertis och praktisk pragmatism till varje uppdrag.

Idag fungerar han genom sitt konsultföretag Protinus som Chief Information Security Officer (CISO) för 12 energibolag i Sverige. De flesta av dessa företag är små, ofta färre än 40 anställda, men de står inför samma krav på regelefterlevnad som betydligt större företag.

För att möta dessa krav utan att öka kostnaderna eller komplexiteten förlitar sig Anders på Cyberday.

"Cyberday är en del av mitt erbjudande. Jag säger till kunderna: ja, du kan göra det här utan det, men det kommer att bli mycket arbete."

Låg medvetenhet, höga insatser

När Anders börjar arbeta med en ny kund kan han stöta på en rad välbekanta utmaningar: låg cybersäkerhetsmognad, begränsad intern expertis och ledningsgrupper som underskattar vikten och omfattningen av vad som krävs.

"Kunskapsnivån kan vara låg", säger han. "Ledningen kanske inte är särskilt intresserad. Och det finns inga regler på plats. Få policyer och en brist på ägarskap."

Det regulatoriska trycket ökar dock. Även om Sverige ännu inte har publicerat sin nationella version av NIS2-direktivet är skyldigheterna på EU-nivå redan på Anders och hans kunders radar.

Utan ett tydligt ramverk eller arbetsflöde har många företag tyvärr svårt att ens komma igång. "En kund försökte utan mig, och det slutade med att det inte blev några framsteg", minns Anders.

Cyberday som Protinus ryggrad

Cyberday blev en del av Anders konsultverktyg nästan av en slump. En av hans första frilanskunder hade redan implementerat det, och han förväntades få det att fungera.

"Det var en fruktansvärd tid i början", skrattar han. "Men sedan började jag älska det. Jag insåg att det kunde lösa många problem för energisektorn."

Idag är Cyberday en integrerad del av hans konsultverksamhet. Alla Protinus kunduppdrag börjar på samma sätt: bekanta sig med verktyget, aktivera NIS2-ramverket och gradvis bygga ut ledningssystemet för informationssäkerhet (ISMS).

Anders arbetar med kunder på distans och träffas vanligtvis online en gång i veckan under några timmar. Däremellan är han tillgänglig via e-post och kan direkt stödja deras Cyberday .

Hur det fungerar: Anders NIS2 mognadsmodell

Anders följer en stegvis mognadsmodell för att hjälpa organisationer att gradvis etablera ett fungerande ISMS i linje med NIS2. Processen omfattar fem steg, från inledande installation till fullständig optimering. Så här guidar han sina kunder genom den med hjälp av Cyberday:

1. Inledande

"Installera Cyberday i Teams."
Kunderna börjar med att få tillgång till Cyberday och börjar utforska det i sin Microsoft Teams-miljö. Detta hjälper dem att bli bekanta med verktyget i sitt dagliga arbetsflöde.

2. Hanterade

"Arbeta igenom de 104 uppgifterna för NIS2."
Nästa steg är att aktivera NIS2-ramverket i Cyberday. Kunderna börjar slutföra de 104 relaterade uppgifterna, vilket ger dem en introduktion till omfattningen av efterlevnadskraven och hjälper till att skapa momentum.

3. Definierad

"Tilldela temaägare och genomför en internrevision."
Under arbetets gång uppmuntrar Anders kunderna att delegera ansvar genom att tilldela temaägare för HR, leverantörer, planer osv. På så sätt fördelas arbetet och ett gemensamt ansvarstagande byggs upp. I detta skede genomför de också en grundläggande internrevision.

4. Kvantitativt förvaltad

"Ta itu med revisionsresultaten och lansera personalhandboken."
Här börjar teamet att täppa till identifierade luckor. De åtgärdar eventuella avvikelser från revisionen och skapar en guidebok i Cyberday för att stödja fortlöpande utbildning av personalen.

5. Optimering

"ISMS är nu etablerat."
I detta sista steg är ISMS operativt och integrerat i det dagliga arbetet. Organisationer hanterar:

• Avvikelser och incidenter
• Kontinuerliga förbättringar
• Utbildning av personal
• Kontroll av leverantörer
• Interna revisioner
• Ledningens genomgång