NIS 2, Cyber Resilience Act og cybersikkerhedsforordningen omhandler forskellige dele af EU's cybersikkerhed. En forståelse af deres særskilte anvendelsesområder hjælper organisationer med at vurdere, hvilke pligter, produkter og certificeringsordninger der kan være relevante.
Tre beslægtede EU-tiltag om cybersikkerhed
NIS 2, Cyber Resilience Act (CRA) og cybersikkerhedsforordningen (CSA) hænger sammen, men har forskellige funktioner.
NIS 2 vedrører forpligtelser til håndtering af cybersikkerhedsrisici og indberetning af væsentlige hændelser, som gælder for væsentlige og vigtige enheder inden for direktivets anvendelsesområde og den nationale gennemførelse. CRA fastsætter cybersikkerhedskrav til produkter med digitale elementer, der gøres tilgængelige på EU-markedet, med forbehold for dens regler om anvendelsesområde og undtagelser. CSA fastlægger rammen for europæiske cybersikkerhedscertificeringsordninger for IKT-produkter, -tjenester og -processer.
NIS 2 og organisatoriske cybersikkerhedsforpligtelser
Det gælder for væsentlige og vigtige enheder i de sektorer og enhedstyper, der er angivet i direktivet og de relevante nationale regler. Alene det forhold, at en organisation indgår i en nævnt sektor, afgør ikke, om den er omfattet.
Direktivet kræver passende og forholdsmæssige tekniske, operationelle og organisatoriske foranstaltninger til håndtering af cybersikkerhedsrisici. Det fastsætter også krav til indberetning af væsentlige hændelser.
Artikel 24 giver medlemsstaterne mulighed for under særlige omstændigheder at kræve, at væsentlige og vigtige enheder anvender bestemte IKT-produkter, -tjenester eller -processer, der er certificeret under europæiske cybersikkerhedscertificeringsordninger, for at dokumentere overholdelse af bestemte krav i artikel 21. Dette er ikke et universelt certificeringskrav, og certificering dokumenterer heller ikke i sig selv fuld NIS 2-overholdelse.
Cyber Resilience Act og produkter med digitale elementer
CRA er forordning (EU) 2024/2847. Den indfører horisontale cybersikkerhedskrav for omfattede produkter med digitale elementer, der gøres tilgængelige på EU-markedet, med forbehold for forordningens regler om anvendelsesområde og undtagelser.
Producenter af omfattede produkter skal sikre, at produkterne er konstrueret, udviklet og fremstillet i overensstemmelse med CRA's væsentlige cybersikkerhedskrav. Deres forpligtelser omfatter at gennemføre og dokumentere en cybersikkerhedsrisikovurdering samt at opfylde krav til håndtering af sårbarheder og supportperiode.
Artikel 27 indeholder muligheder for en formodning om overensstemmelse for de omfattede krav. En mulighed kan indebære en EU-overensstemmelseserklæring eller et certifikat udstedt under en europæisk cybersikkerhedscertificeringsordning, men kun når det dækker de relevante krav. Det er ikke en generel konstatering af, at et produkt er i overensstemmelse med CRA.
Kommissionen har også en delegeret beføjelse, på betingelserne i artikel 8, til at identificere kritiske produktkategorier, der skal opnå et europæisk cybersikkerhedscertifikat på et sikringsniveau på mindst betydeligt. Dette er en betinget mekanisme og ikke et universelt certifikatkrav for alle produkter med digitale elementer.
Cybersikkerhedsforordningen og EU-certificering
CSA giver EU's Agentur for Cybersikkerhed, ENISA, et permanent mandat og etablerer en europæisk ramme for cybersikkerhedscertificering. Rammen kan anvendes på IKT-produkter, -tjenester og -processer.
Certificering er frivillig, medmindre EU-retten eller medlemsstaternes lovgivning fastsætter andet. Europæiske ordninger kan anvende sikringsniveauer, herunder grundlæggende, betydeligt og højt. Disse niveauer og certifikater skal læses i sammenhæng med den relevante ordning og de krav, den dækker; de garanterer ikke fuldstændig sikkerhed.
Sådan adskiller NIS 2, CRA og CSA sig
| Tiltag | Hovedfokus | Hvad det giver |
|---|---|---|
| NIS 2 | Håndtering af cybersikkerhedsrisici og hændelsesindberetning for omfattede væsentlige og vigtige enheder | Organisatoriske forpligtelser med mulig anvendelse af certificerede IKT-produkter, -tjenester eller -processer under nærmere angivne omstændigheder |
| CRA | Cybersikkerhed for omfattede produkter med digitale elementer, der gøres tilgængelige på EU-markedet | Krav til produkter og producenter, veje til overensstemmelsesvurdering og betingede certificeringsmekanismer |
| CSA | Europæisk cybersikkerhedscertificering | En ramme for certificeringsordninger for IKT-produkter, -tjenester og -processer |
Tiltagene fungerer derfor på forskellige niveauer. NIS 2 omhandler organisatorisk risikostyring og indberetning. CRA omhandler omfattede produkter og de relevante økonomiske aktørers forpligtelser, herunder producenter. CSA stiller en certificeringsramme til rådighed, som NIS 2 og CRA kan trække på, når deres respektive retlige betingelser er opfyldt.
En praktisk måde at vurdere relevans på
Et nyttigt udgangspunkt er at overveje tre spørgsmål hver for sig:
- Falder enheden inden for NIS 2 og de gældende nationale regler?
- Gøres et produkt med digitale elementer tilgængeligt på EU-markedet inden for CRA's anvendelsesområde?
- Findes der en relevant europæisk cybersikkerhedscertificeringsordning, og gør et retligt krav det nødvendigt at anvende den?
Først derefter er det muligt at vurdere, om dokumentation kan genbruges på tværs af rammerne. Hvor krav og certificeringsomfang faktisk overlapper, kan fælles dokumentation være nyttig, men optegnelser bør bevare konteksten for det relevante krav, den relevante enhed, produkt, ordning og sikringsniveau.
Teams med ansvar for produkt-, indkøbs- og organisatorisk sikkerhed kan også have behov for at koordinere. NIS 2 kan påvirke anvendelsen af IKT- og forsyningskædeforanstaltninger, mens CRA regulerer omfattede produkter, der bringes i omsætning. Ved at holde disse vurderinger adskilt bliver det lettere at undgå at betragte certificering som en automatisk erstatning for en særskilt retlig forpligtelse.