NIS2 handler også om alarm, adgangskontrol og videoovervågning

Når NIS2 kommer på dagsordenen, sidder IT-afdelingen typisk for bordenden, og de fleste organisationer har for længst placeret kameraerne i deres eget VLAN, men ansvaret for firmwaren på flere hundrede kameraer, installatørens fjernadgang og de lokale administratorkonti på adgangskontrolserveren er langt sjældnere entydigt placeret.

Hvem er omfattet af kravene?

NIS2 omfatter mellemstore og store virksomheder, som udgangspunkt fra 50 ansatte eller over 10 mio. euro i årlig omsætning, inden for en lang række samfundsvigtige sektorer, herunder energiforsyning, transport, sundhedsvæsen, vandforsyning, fødevareproduktion, affaldshåndtering og dele af fremstillingsindustrien, og i Danmark har NIS2-loven været gældende siden juli 2025.

Hvorfor omfatter det den fysiske sikkerhed?

Der er tre sammenhængende forklaringer, og de hænger væsentligt tættere sammen, end mange organisationer forestiller sig:

• Det fysiske miljø: NIS2 forpligter virksomheden til at beskytte sine netværks- og informationssystemer mod alle typer hændelser, herunder fysiske, og derfor skal serverrum, netværksskabe og teknikrum sikres, adgangskontrolleres og overvåges.
• Adgangsstyring: adgangspolitikker og et opdateret aktivregister indgår direkte blandt minimumskravene, hvilket præcis svarer til adgangskontrollens kerneopgave.
• Sikringsanlægget som IT-system: et IP-kamera med forældet firmware og standardadgangskode kan fungere som en uautoriseret indgang til virksomhedens øvrige netværksinfrastruktur.

Hvad indebærer det i praksis?

• Et komplet aktivregister: over samtlige sikringskomponenter på netværket, med model, placering, IP-adresse, VLAN og firmwareversion.
• Adgangsstyring til kritiske lokaler: med personlige adgangskort, dokumenterede rettigheder og systematisk gennemgang af hændelseslogs.
• Sårbarheds- og firmwarestyring: for kameraer, netværksoptagere, kortlæsere og centraler, ikke udelukkende for klienter og servere.
• Leverandørstyring: herunder hvordan installatøren tildeles fjernadgang, og hvorvidt der anvendes to-faktor-godkendelse, individuelle konti og tidsbegrænsede adgangsrettigheder.
• Dokumenteret netværkssegmentering: eftersom sikringsanlægget typisk allerede kører i egne VLAN, men firewallregler og undtagelser også skal dokumenteres og gennemgås løbende.

Hvad sker der ved en væsentlig hændelse?

Ved en væsentlig hændelse skal virksomheden fremsende en tidlig varsling inden for 24 timer, en egentlig hændelsesunderretning inden for 72 timer og en endelig rapport senest en måned efter, og i den sammenhæng udgør logs fra adgangskontrollen og optagelser fra videoovervågningen ofte afgørende dokumentation for hændelsesforløbet.

Hvor er ansvaret placeret?

Ansvaret er placeret hos ledelsen, eftersom NIS2 forpligter ledelsen til at godkende sikkerhedsforanstaltningerne, følge løbende op på implementeringen og potentielt hæfte personligt ved overtrædelser, hvilket gør det uhensigtsmæssigt, at IT-afdelingen og ansvaret for den fysiske sikkerhed opererer med separate budgetter, leverandører og risikovurderinger.

Vær opmærksom

Om organisationen er omfattet, og hvilke krav der konkret gælder, afgøres af NIS2-loven og den kompetente myndighed i den pågældende sektor, og artiklen giver et overblik, ikke en juridisk vurdering.

Hvad gør du nu?

1. Afklar, om organisationen er omfattet, ved at kortlægge sektor, størrelse og eventuelle koncernforhold, og inddrag juridisk rådgivning ved tvivl.
2. Etablér et aktivregister over samtlige sikringskomponenter med firmwareversion, VLAN og ansvarlig for vedligeholdelse.
3. Gennemgå leverandørernes fjernadgang, og stil krav om to-faktor-godkendelse, individuelle konti og fuldstændig logning.
4. Samordn IT-sikkerheden og den fysiske sikkerhed i én fælles risikovurdering og én samlet handlingsplan.

NIS2 skelner ikke mellem et kamera og en server, og det bør organisationens sikkerhedsarbejde heller ikke gøre.

---

Kilder NIS2-direktivet (EU 2022/2555) · Lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau (NIS2-loven) · Styrelsen for Samfundssikkerhed