NIS2 og SASE: samsvar oppfylt med én plattform

Er din bedrift omfattet av NIS2-implementeringen?

NIS2 gjelder for to kategorier av bedrifter: vesentlige og viktige enheter. Begge har lignende tekniske forpliktelser, hovedforskjellen ligger i tilsynsnivået og størrelsen på mulige bøter.

Vesentlige enheter omfatter sektorer som energi, transport, banker, helsevesen, drikkevann og digital infrastruktur. Viktige enheter omfatter post- og kurértjenester, avfallshåndtering, produsenter av kritiske produkter, digitale leverandører og forskningsorganisasjoner. For begge kategorier starter størrelsesterskelen typisk ved 50 medarbeidere og 10 millioner euro i årlig omsetning, med sektorspesifikke unntak.

En pragmatisk første kontroll: hvis bedriften din er kritisk for driften av vesentlige tjenester, sysselsetter mer enn 50 medarbeidere og opererer på flere lokasjoner, faller du med stor sannsynlighet innenfor anvendelsesområdet. Selv hvis du ikke er direkte i anvendelsesområdet, kan forsyningskjedeforpliktelsene hos kundene dine reelt inkludere deg via kontraktsmessig videreføring.

De tre hovedforpliktelsene i NIS2

NIS2 pålegger vesentlige og viktige enheter tre overordnede forpliktelser. Å forstå dem er utgangspunktet for enhver teknisk samsvarsstrategi.

Omsorgsplikt. Bedriften må treffe egnede tekniske og organisatoriske tiltak for å håndtere cyberrisiko. Direktivet lister opp ti minimumskategorier, inkludert hendelseshåndtering, forretningskontinuitet, forsyningskjedesikkerhet, kryptering og tilgangskontroll. Disse er ikke valgfrie, tilsynsmyndigheten forventer dokumentasjon.

Varslingsplikt. Vesentlige hendelser må varsles til den nasjonale tilsynsmyndigheten innen strenge frister: 24 timer for en tidlig advarsel, 72 timer for en hendelsesvarsling og en måned for en endelig rapport. Klokken starter ved deteksjon, ikke ved inndemming.

Registreringsplikt. Bedriften må registrere seg hos den nasjonale myndigheten. Registreringen omfatter utpeking av en kontaktperson, angivelse av relevante sektorer og levering av teknisk kontaktinformasjon.

Hvordan SASE dekker de tekniske NIS2-tiltakene: samsvars-mappingen

Artikkel 21 i NIS2 lister opp ti kategorier av tekniske og organisatoriske tiltak. Den interessante observasjonen ved mapping til en moden SASE-plattform som Cato er at syv av de ti adresseres som standardkonfigurasjon.

Tilgangskontroll og identitetsstyring. ZTNA på SASE-plattformen leverer identitetsdrevet tilgang etter minst-privilegium-prinsippet med kontinuerlig verifikasjon. Hver tilgangsbeslutning logges med bruker-, enhets-, applikasjons- og policykontekst, nøyaktig de bevisene en revisor vil se.

Kryptering. All trafikk over SASE-backbonen er kryptert under overføring. Single-pass-motoren dekrypterer kun inne i cloud-sikkerhetsstakken til inspeksjon og krypterer igjen før videresending. Ingen klartekst-trafikk passerer offentlig infrastruktur.

Logging og hendelsesdeteksjon. Plattformens enhetlige logging skaper ett audit trail som dekker både nettverks- og sikkerhetshendelser. Deteksjonsevner omfatter atferdsmessig anomalideteksjon, threat intelligence-korrelasjon og AI-drevet analyse via Cato CTRL.

Forretningskontinuitet. Den innebygde 4G/5G-backupen i Cato Socket, kombinert med den globale private backbone, gir forbindelsesresiliens uten manuell failover.

Forsyningskjedesikkerhet. Tredjepartstilgang via ZTNA er identitetsbundet og tidsbegrenset. Leverandører og entreprenører får nøyaktig den tilgangen de trenger, så lenge de trenger den, fullt logget.

De tre kategoriene SASE ikke direkte adresserer (governance, asset management, sikre utviklingspraksiser) krever prosessarbeid ved siden av plattformen. Vi dokumenterer det i implementeringsguiden vår Cato Networks implementering fra opptak til live-nettverk.

Forsyningskjedesikkerhet: den glemte NIS2-forpliktelsen

Artikkel 21(2)(d) krever eksplisitt forsyningskjedesikkerhet: sikring av relasjonene med direkte leverandører og tjenesteytere. I praksis er det her mange bedrifter kommer til kort. Den klassiske løsningen, å gi leverandører og entreprenører VPN-tilgang, er nettopp det NIS2 tvinger til å bli revurdert.

ZTNA på SASE-plattformen endrer det grunnleggende. Hver leverandørsesjon er identitetsbundet, begrenset til spesifikke applikasjoner, tidsbegrenset og kontinuerlig logget. Posture checks på leverandørens enhet verifiserer endpoint-hygiene før tilgang gis. Tilbakekalling skjer øyeblikkelig: å lukke tilgangen for en avgått entreprenør er et klikk i konsollen, ikke en brannmurregel-oppdatering.

For bedrifter med dusinvis av tredjepartstilgangsrelasjoner er det forskjellen mellom "vi har policy" og "vi kan dokumentere at policyene håndheves". Det siste forventer NIS2-tilsynsmyndigheter.

Dokumenterbart compliant: ett audit trail for alle forpliktelser

Compliance-auditing handler ikke om å ha den rette teknologien, det handler om å kunne bevise at du anvender den. Den klassiske compliance-utfordringen er at bevisene ligger i tolv forskjellige verktøy (brannmur-logs, VPN-logs, SIEM-hendelser, identity provider-audit trails og så videre), og at sammenstille en sammenhengende fortelling til en revisor krever ukesvis av manuelt arbeid.

Plattformstilnærmingen snur det. All trafikk flyter gjennom Cato single-pass-motoren, alle beslutninger logges med full kontekst, alle hendelser flyter inn i ett datalag. En revisorforespørsel som tidligere krevde SQL over flere log-databaser, blir til et konsollfilter. Rapporter som tidligere tok uker å produsere, blir standardeksporter.

Det er hva vi mener når vi sier at samsvar blir biprodukt av arkitekturen i stedet for et separat arbeidsspor.

Momentum EMEA som NIS2-implementeringspartner

Den tekniske plattformen er den ene halvdelen av svaret, implementeringspartnerskapet er den andre. Som EMEAs ledende spesialiserte Cato-implementeringspartner kombinerer Momentum EMEA carrier-nøytral underlay (selve internettforbindelsen) og Cato SASE-overlay (sikkerhet og tilgangskontroll) fra én kontrakt, én SLA og ett team.

Spesielt for NIS2-samsvar betyr det én ansvarlig partner for det tekniske miljøet som produserer audit-bevisene. Våre kvartalsvise reviews omfatter compliance-postur-rapporter, våre incident response-prosedyrer er tilpasset NIS2s 24/72-timers varslingsfrister.