Koncernen vidste, at NIS2 gjaldt for dem. Ud over det var situationen ærlig og almindelig: ingen kunne sige, hvor langt de var fra at leve op til direktivet, og der var ikke to personer, der gav samme svar på, hvem der ejede problemet.
De havde fået tilbud på en gap-analyse to gange. Begge ville have givet et dokument. Ingen af dem ville have givet en plan, som nogen stod til ansvar for.
Vi startede med forpligtelserne
Vi begyndte med, hvilke dele af direktivet der faktisk gælder for netop denne forretning, fordi en generel parathedsvurdering mod det hele er et dokument, ingen læser. Det gav en langt kortere liste end den, de havde båret rundt på.
Mod den liste vurderede vi, hvad der allerede fandtes. Det var en hel del. Hændelseshåndteringen var uformel, men reel. Krav til leverandørerne stod i kontrakter, som ingen havde koblet til sikkerhed. Backup blev testet, hvilket er sjældnere, end det burde være.
- Governance og ansvar, som var det største reelle hul
- Hændelsesrapportering efter direktivets tidsfrister i stedet for deres egne
- Krav til forsyningskæden, som allerede var halvvejs på plads i eksisterende kontrakter
- Forretningskontinuitet, som stort set var på plads og manglede dokumentation snarere end arbejde
Det største hul var ikke teknisk. Det var, at ingen navngiven person havde ansvaret for noget af det, så enhver forbedring gik i stå, når der skulle træffes en beslutning.
Planen
Hvert punkt fik en ejer, en dato og en definition af, hvornår det var færdigt. Hvor noget allerede fandtes, sagde vi det og gik videre i stedet for at bygge det om, så det lignede compliancearbejde.
Hvor de står nu
Navngivne personer, daterede forpligtelser og et dokumentationsspor, der holder. Ledelsen kan nu sige, hvor de står, og hvad der mangler. Det er netop, hvad direktivet kræver af dem, og hvad ingen af de to tidligere tilbud ville have leveret.