NIS2 (SWE)

Den nya cybersäkerhetslagen, som implementerar NIS2 i Sverige, ställer omfattande krav på riskhanteringsåtgärder för bland annat kommuner, regioner och statliga myndigheter.

Den här sidan visar exempel på hur Fortified ID:s IAM- och e-legitimationslösningar kan adressera konkreta säkerhetsbehov kopplade till NIS2.

Officiella referenser

Exempelscenarierna nedan utgår från kravområden som beskrivs i NIS2-direktivet och i svensk information om cybersäkerhetslagen:

• NIS2-direktivet, artikel 21 beskriver riskhanteringsåtgärder som bland annat omfattar säkerhet i leveranskedjan, kryptografi och kryptering, personalsäkerhet, åtkomstkontroll och multifaktorautentisering.
• Cybersäkerhetslagen för berörda verksamheter beskriver svenska krav på riskanalyser, säkerhetsåtgärder, incidentrapportering, tillsyn och sanktioner.
• Rapportera en betydande incident enligt cybersäkerhetslagen beskriver rapportering till Myndigheten för civilt försvar och tidskrav för betydande incidenter.

Exempelscenarier

Tillgångsstyrning och åtkomstkontroll | Multifaktorautentisering (MFA)
Personalsäkerhet | Kryptering och kryptografi
Spårbarhet för incidentrapportering | Säkerhet i leverantörskedjan

Tillgångsstyrning och åtkomstkontroll

Användningsfall
NIS2 ställer krav på åtkomstkontroll och policyer för att säkerställa att endast behörig personal har tillgång till kritiska nätverk, system och information. Organisationer behöver därför kunna styra åtkomst utifrån roll, ansvar, användartyp och verksamhetskontext, samt minska risken för att användare får bredare access än de faktiskt behöver.

Hur det mappar till Fortified ID
Fortified ID kan stödja centraliserad och rollbaserad åtkomstkontroll genom att kombinera Access och Control. Access kan styra vilka applikationer och tjänster en användare får nå baserat på exempelvis grupp, roll, attribut eller autentiseringsnivå. Control kan användas för att hantera begäran, godkännanden och uppdateringar av behörigheter i anslutna system. Det gör det möjligt att tillämpa principen om minsta privilegium och stänga ute obehörig åtkomst från kritisk infrastruktur.

Multifaktorautentisering (MFA)

Användningsfall
NIS2 lyfter behovet av multifaktorautentisering eller kontinuerlig autentisering som en del av organisationens riskhanteringsåtgärder. Organisationer behöver därför kunna kräva stark autentisering både för interna användare och för användare som loggar in på distans, särskilt när åtkomsten gäller kritiska system eller känslig information.

Hur det mappar till Fortified ID
Fortified ID Access kan införa MFA och stark autentisering för applikationer och tjänster oavsett om inloggningen sker internt eller externt. Lösningen kan använda säkra digitala tjänstelegitimationer och autentiseringsmetoder med hög tillitsnivå, till exempel e-legitimation eller certifikatbaserad autentisering. Det gör MFA till en central och återanvändbar kontroll i stället för en separat lösning per system.

Personalsäkerhet

Användningsfall
NIS2 omfattar personalsäkerhet och kontroll över vilka personer som har tillgång till system och information under hela anställnings- eller uppdragstiden. En vanlig risk är att behörigheter finns kvar efter att en person byter roll, slutar eller inte längre ska ha tillgång till en viss resurs.

Hur det mappar till Fortified ID
Fortified ID Control kan stödja automatiserad livscykelhantering genom integration med HR-system, katalogtjänster och andra källsystem. När en anställning avslutas eller en roll förändras kan Pipes, Valves och Schedules användas för att dra tillbaka behörigheter, digitala nycklar och åtkomster i anslutna system. Det minskar risken för kvarlämnade konton och gör offboarding mer konsekvent och spårbar.

Kryptering och kryptografi

Användningsfall
NIS2 pekar på behovet av riktlinjer och åtgärder för kryptografi och kryptering för att skydda data, kommunikation och identiteter. Organisationer behöver kunna hantera certifikat och kryptografiska nycklar på ett säkert sätt, särskilt när de används för autentisering eller digitala tjänstelegitimationer.

Hur det mappar till Fortified ID
Fortified ID kan stödja användning av robust PKI och certifikatbaserad autentisering. Genom säker hantering, distribution och användning av certifikat kan organisationen skydda digitala identiteter mot kapning, missbruk och förfalskning. Detta stärker både autentiseringsflöden och de kryptografiska kontroller som används för att skydda åtkomst till kritiska tjänster.

Spårbarhet för incidentrapportering

Användningsfall
NIS2 ställer krav på snabb hantering och rapportering av betydande säkerhetsincidenter. För att kunna agera inom korta tidsfrister behöver organisationen snabbt förstå vilka autentiseringar, åtkomstförsök och administrativa åtgärder som kan vara relevanta för incidenten.

Hur det mappar till Fortified ID
Fortified ID kan bidra med detaljerad loggning av autentiseringsförsök, åtkomsthändelser och genomförda administrativa flöden. Access kan ge underlag kring inloggningar och åtkomstförsök, medan Control kan visa vilka arbetsflöden, godkännanden och förändringar som genomförts. Detta ger CISO och IT-säkerhetsansvariga bättre underlag för utredning, åtgärder och rapportering till Myndigheten för civilt försvar.

Säkerhet i leverantörskedjan

Användningsfall
NIS2 ställer högre krav på kontroll över leverantörskedjan och över hur underleverantörer, konsulter och andra externa parter får åtkomst till organisationens system. Organisationer behöver kunna ge extern åtkomst när den behövs, men också säkerställa att åtkomsten är tidsbegränsad, skyddad med stark autentisering och avslutas när uppdraget är slut.

Hur det mappar till Fortified ID
Fortified ID kan stödja säkra och tidsbegränsade gästidentiteter för externa användare. Control kan hantera registrering, godkännande, förlängning och avveckling av externa konton, medan Access kan kräva MFA innan åtkomst beviljas. Med Schedules kan organisationen automatiskt identifiera och stänga ned åtkomst som har passerat sitt slutdatum eller behöver granskas av en ansvarig sponsor.