Spørsmål 1.1
Har virksomheten en dokumentert informasjonssikkerhetspolicy?
En informasjonssikkerhetspolicy er et overordnet dokument som beskriver virksomhetens prinsipper og mål for informasjonssikkerhet.
0 % fullført
Autolagres
Kravområde 1 av 10 (Art. 21(2)(a))
Risikoanalyse og informasjonssikkerhetspolicy
Virksomheten skal ha retningslinjer for risikoanalyse og overordnet informasjonssikkerhet. Dette er grunnlaget for alle andre tiltak — uten risikostyring bygger man i blinde.
Slik svarer du
Velg nivået som best beskriver hvordan det er i dag. Et ærlig svar gir et nyttig resultat.
- 1 Ikke påbegynt
- Ingen formelle tiltak er på plass.
- 2 Grunnleggende
- Det finnes ad hoc-tiltak, men de er ikke dokumentert.
- 3 Etablert
- Dokumenterte prosesser som følges i praksis.
- 4 Styrt
- Prosessene måles, evalueres og forbedres jevnlig.
- 5 Optimalisert
- Kontinuerlig forbedring basert på data og erfaringer.
Kritisk
Spørsmål 1.2
Gjennomfører dere regelmessige risikovurderinger av IT-systemer og data?
En risikovurdering identifiserer hvilke trusler og sårbarheter som finnes, og vurderer sannsynlighet og konsekvens.
Spørsmål 1.3
Er det tydelig definert hvem som har ansvar for informasjonssikkerhet i virksomheten?
NIS2 krever at ledelsen tar aktivt ansvar.
Spørsmål 1.4
Har dere en oversikt over virksomhetens viktigste informasjonsverdier og systemer?
Du kan ikke beskytte det du ikke vet om.
Spørsmål 1.5
Vurderer dere risikoer knyttet til nye prosjekter eller systemendringer før de gjennomføres?
"Security by design" betyr at sikkerhet vurderes tidlig, ikke legges til etterpå.
Spørsmål 1.6
Rapporteres risikovurderinger og sikkerhetsstatus til ledelsen?
NIS2 stiller krav til at ledelsen skal ha oversikt og ta ansvar.