Att implementera de säkerhetsåtgärder som krävs enligt NIS2 är en sak. Att vara redo för en revision är något helt annat. Enligt NIS2-direktivet bedöms beredskap inte genom checklistor, utan genom bevis. Revisorer förväntar sig att dessa bevis är strukturerade, spårbara och integrerade i den dagliga verksamheten.
Dokumentation är därför inte en bilaga till NIS2-efterlevnad. Den är själva grunden som revisorer använder för att verifiera att en organisation faktiskt uppfyller kraven i artiklarna 21 och 23.
NIS2 inför betydande sanktioner vid bristande efterlevnad. Tillsynsmyndigheter kommer inte bara att bedöma om säkerhetsåtgärder finns, utan även hur effektiva de är i praktiken.
För revisorer innebär detta att enbart policydokument är otillräckliga. De kommer att vilja se hur åtgärder har tillämpats över tid: vad som har beslutats, vem som är ansvarig, hur risker följs upp och vilka bevis detta genererar.
Kort sagt är NIS2-dokumentation den bevisportfölj som visar att en organisations system, medarbetare och processer fungerar som avsett.
I praktiken struktureras NIS2-revisioner ofta kring fyra huvudområden.
Revisioner börjar högst upp i organisationen. Revisorer förväntar sig att se:
Detta är kärnan i artikel 23: cybersäkerhet ska vara ett dokumenterat ledningsansvar, inte en informellt delegerad IT-uppgift.
Revisorer bedömer om riskhanteringen är systematisk, repeterbar och uppdaterad:
Revisorer söker levande dokumentation, inte statiska ögonblicksbilder. Risker ska hanteras kontinuerligt, inte arkiveras.
Förebyggande åtgärder är viktiga, men revisorer fokuserar även på vad som sker när incidenter inträffar:
Detta visar faktisk operativ motståndskraft, inte bara teoretisk beredskap.
Med tanke på NIS2:s starka fokus på beroenden kommer revisorer att granska:
Detta återspeglar förväntningarna på att risker måste hanteras i hela värdekedjan, inte bara internt i den egna organisationen.
Effektiv NIS2-dokumentation är sammanhängande. Policydokument ska vara kopplade till beslut. Beslut ska vara kopplade till åtgärder. Åtgärder ska vara kopplade till avtal, ansvar och faktiska händelser.
Exempel på detta kan vara:
Det är därför mappar fyllda med PDF-filer sällan tillfredsställer revisorer. De förväntar sig dokumentation som kan spåras över olika områden – och tas fram snabbt vid begäran.
För många organisationer är det här strukturerade digitala system blir avgörande. När avtal, ansvar, risker och uppföljning är sammanlänkade på ett ställe stödjer dokumentationen både de operativa kraven i artikel 21 och styrningskraven i artikel 23.
En vanlig fallgrop är dokumentation som ser komplett ut på papper men som inte återspeglar den faktiska verksamheten.
Revisorer testar vanligtvis om:
Här är struktur och spårbarhet avgörande. Utan detta blir dokumentationen snabbt sårbar vid granskning.
Genom att betrakta dokumentation som ett löpande arbete snarare än ett engångsprojekt förbereder sig organisationerna inte bara för revisioner, utan stärker också sin dagliga riskhantering.
Viktig information: House of Control är ett mjukvaruföretag. Vi tillhandahåller inte konsulttjänster relaterade till efterlevnad av NIS2. Att följa denna guide garanterar därför inte efterlevnad av alla rättsliga krav i NIS2. Innehållet i denna artikel baseras på vår egen granskning av NIS2-kraven och vår erfarenhet av regelefterlevnad, samt inspiration från olika organisationer som tillhandahåller konsulttjänster. Vi tar inte på oss något ansvar för bristande efterlevnad av NIS2-kraven eller för konsekvenser som uppstår till följd av användningen av denna guide.