Revisoren kommer ikke til å be om å se sikkerhetspolicyen din. Revisoren kommer til å be om dokumentasjon. NIS2-dokumentasjon er den strukturerte, løpende dokumentasjonen som viser at virksomheten har overvåket konfigurasjonen på endepunktene, patchet kjente sårbarheter og kontrollert privilegert tilgang – ikke som en engangsøvelse, men som en fast del av driften. Det er den forskjellen de fleste mellomstore IT-avdelinger ikke er forberedt på. I EU håndheves NIS2-direktivet nå i alle de 21 medlemslandene som har innført det i nasjonal lov. I EU kan vesentlige enheter få bøter på opptil 10 millioner euro eller 2 % av global årsomsetning. Flaskehalsen for de fleste virksomheter er ikke viljen. Det er evnen til å legge fram dokumentasjon på forespørsel. Denne artikkelen går gjennom hva NIS2-dokumentasjon krever i praksis, hvorfor de fleste virksomheter kommer til kort, hva revisorer konkret undersøker, og hvordan du bygger et endepunktmiljø som produserer dokumentasjonen automatisk – den operative siden av de bredere NIS2-kravene til endepunktadministrasjon.
Hvorfor de fleste virksomheter ikke er klare for en NIS2-revisjon
Virksomhetene som sliter mest med NIS2-revisjoner, er ikke de med dårlig sikkerhet. Det er de med reell sikkerhet, men med dokumentasjon spredt på flere punktverktøy – og ingen av dem er laget for å levere revisjonsklar dokumentasjon.
Fragmenterte verktøy, ingen samlet dokumentasjon
Et typisk mellomstort IT-miljø bruker separate verktøy for patchehåndtering, sårbarhetsskanning, privilegert tilgang og konfigurasjon av endepunkter. Hvert av dem lager sine egne logger i sitt eget format. Når en revisor ber om en samlet oversikt over sikkerhetsnivået, må noen manuelt hente ut, sammenstille og formatere data fra flere ulike systemer. Resultatet er ufullstendig, tidkrevende og vanskelig å forsvare under gransking.
Manuell innsamling av dokumentasjon
NIS2 krever løpende dokumentasjon – ikke en rapport som settes sammen uken før revisjonen. Manuell innsamling skaper hull: data som aldri ble logget, logger som ble overskrevet, tidsstempler som ikke stemmer overens på tvers av systemene. Revisorer er trent til å se etter nettopp slike avvik.
Ufullstendig patchdekning
De fleste virksomheter patcher operativsystemene sine. Færre har systematiske prosesser for tredjepartsprogrammer. Enda færre har automatiske driveroppdateringer med et dokumentert revisjonsspor. NIS2 skiller ikke mellom disse kategoriene – og det gjør heller ikke revisorene.
Ingen logg over privilegert tilgang
Minste privilegium er et uttrykkelig krav i NIS2. Uten automatisk logging av hver eneste heving av rettigheter – hvem, når, hvilket system, hvilken begrunnelse – er det umulig å vise at prinsippet følges i praksis og ikke bare står i en policy.
Sjekkliste: NIS2-dokumentasjon for endepunktteam
Når en NIS2-revisor kommer, er dette dokumentasjonen virksomheten bør kunne legge fram på forespørsel:
- Konfigurasjonshistorikk – tidsstemplet dokumentasjon av konfigurasjonstilstanden på endepunktene og oppdagede avvik
- Patchlogger – operativsystem, tredjepartsprogrammer og drivere, med datoer og berørte endepunkter
- Sårbarhetsrapporter – status for CVE-eksponering og tidsfrister for utbedring
- Logger over privilegert tilgang – hver heving av rettigheter med begrunnelse og øktvarighet
- Oversikt over IT-eiendeler – et komplett og løpende oppdatert register over endepunktene
- Samsvarsrapporter – gjeldende status for sikkerhetsnivået, klar til eksport for revisjonen
- Dokumentasjon på utbedring – en dokumentert arbeidsflyt som viser hvordan avdekkede problemer ble løst
Hvis noe av denne dokumentasjonen må settes sammen manuelt før du kan legge den fram, har dokumentasjonsprosessen din et hull. ENISA Threat Landscape 2024 peker på utnyttelse av kjente, upatchede sårbarheter som en av de viktigste angrepsvektorene i Europa – og det er nettopp derfor NIS2-revisorer går gjennom patchlogger og dokumentasjon på utbedring først.
Slik genererer CapaOne NIS2-dokumentasjon automatisk
CapaOne er laget slik at dokumentasjonen på etterlevelse er et løpende resultat av den daglige endepunktadministrasjonen – ikke noe som settes sammen under press når revisjonen nærmer seg. Plattformen dekker hvert punkt i sjekklisten over fra én konsoll, driftet i EU.
Security Monitor: Dokumentasjon av konfigurasjon og sikkerhetsnivå
CapaOne Security Monitor følger konfigurasjonen på endepunktene løpende og logger hvert avvik med tidsstempel. Konfigurasjonshistorikk, oppdagede avvik, sårbarhetseksponering og dokumentasjon på utbedring registreres automatisk. Når en revisor ber om en rapport om sikkerhetsnivået, er den allerede strukturert og tidsstemplet – uten manuell sammenstilling. Se hele funksjonaliteten i oversikten over CapaOne-plattformen.
Privilege Manager: Logger over tilgangsstyring
CapaOne Privilege Manager gir just-in-time-heving av rettigheter med automatisk logging av øktene. Hver forespørsel om rettigheter registreres: hvem, når, hvilket system, hvilken begrunnelse. Loggen kan eksporteres til revisjonsbruk uten ekstra forberedelser – og gjør minste privilegium om fra en policy på papiret til en dokumentert praksis som tåler revisjon.
Application Manager og Provision Manager: Full patchdekning
CapaOne Application Manager håndterer utrulling og oppdatering av tredjepartsprogrammer og dokumenterer hver patch som en del av samsvarsdokumentasjonen. Driverorkestrering håndteres av Provision Manager, som automatiserer bare metal-utrulling av operativsystemet og driveroppdateringer i en skybasert arbeidsflyt – med fullt revisjonsspor. Sammen gir de patchdokumentasjon for hele programvarestakken på endepunktene: operativsystem, programmer og drivere.
Utviklet i Danmark. Driftet i EU. I tråd med NIS2 fra grunnen av.
CapaOne er utviklet i Danmark og driftet på infrastruktur i EU. Datalokasjonen kan dokumenteres, og driftsstedet kan oppgis tydelig overfor Datatilsynet og revisorer. For virksomheter som må oppfylle krav til digital suverenitet – et stadig vanligere kriterium i anskaffelser i regulerte europeiske bransjer – betyr det noe. Når du sammenligner plattformene side om side på drift i EU, NIS2-støtte og samspill med Intune, blir kriteriet en beslutning i stedet for en antakelse. For virksomheter som bruker Microsoft Intune, tetter CapaOne hullene i NIS2-dokumentasjonen som Intune ikke dekker innebygd: patching av tredjepartsprogrammer, driverorkestrering, styring av privilegert tilgang og revisjonsklar rapportering om sikkerhetsnivået. Les hvordan CapaOne fungerer med eller uten Intune. For virksomheter uten Intune fungerer CapaOne som en komplett, frittstående plattform for endepunktadministrasjon.
30. juni er den første fristen i EU. Standarden gjelder for hver revisjon etterpå.
Etterlevelse av NIS2 er ikke en engangssertifisering. Virksomhetene som står best rustet – overfor revisorer, cyberforsikringsselskaper og i regulerte anskaffelsesprosesser – er de som behandler NIS2-dokumentasjon som et løpende resultat av driften. 30. juni er den første fristen i EU. Kravet til dokumentasjon gjelder ved hver revisjon som følger. Hvis dagens verktøy ikke kan produsere den dokumentasjonen uten manuelt arbeid, er spørsmålet ikke om du skal ta tak i det – men hvor raskt. Book en demo av CapaOne-plattformen for endepunktadministrasjon og se hvordan NIS2-dokumentasjon ser ut når den genereres automatisk. Start en gratis prøveperiode og utforsk plattformen i ditt eget tempo.
