NIS2 og webbaseret sikkerhed

NIS2 (Network and Information Security Directive 2) er EU's opdaterede ramme for cybersikkerhed, som trådte i kraft i oktober 2024. Direktivet udvider antallet af sektorer og virksomheder, der er omfattet, markant — fra energi og transport til digitale tjenester, sundhed og offentlig forvaltning. I Danmark implementeres det via en opdatering af den eksisterende NIS-lovgivning.

Direktivet kræver, at virksomheder træffer passende og proportionelle tekniske og organisatoriske foranstaltninger til at styre risici for deres netværks- og informationssystemer. Det betyder, at webapplikationer — som ofte er den primære kundekontaktflade — nu eksplicit er i scope.

NIS2 Artikel 21 specificerer de minimumskrav, virksomheder skal opfylde. For webapplikationer er følgende særligt relevante:

• Risikoanalyse og sikkerhedspolitikker — systematisk vurdering af trusler mod din webapp • Håndtering af sikkerhedshændelser — plan for hvad der sker ved et databrud • Forretningskontinuitet og krisehåndtering — backup og disaster recovery • Sikkerhed i forsyningskæden — tredjepartskomponenter og afhængigheder • Sikkerhed i forbindelse med anskaffelse, udvikling og vedligeholdelse — secure SDLC • Kryptografi og kryptering — HTTPS, token-sikkerhed, datakryptering • Adgangskontrol og autentifikation — stærk auth, MFA, rollebaseret adgang

PenLab dækker direkte mange af disse områder gennem 275+ automatiserede checkpoints.

PenLab's sikkerhedsrapport mapper direkte til flere NIS2-krav:

1. Risikovurdering — automatiseret risikoanalyse med scorer på tværs af 21 kategorier giver et dokumenteret risikobillede 2. Sårbarhedshåndtering — detaljerede fund med angrebsscenarier, beviser og AI-genererede rettelsesforslag 3. GDPR Art. 32 dokumentation — rapporten inkluderer compliance-sektion med refererede artikler og dækningsgrad, som understøtter NIS2's krav om databeskyttelse 4. OWASP WSTG-dækning — systematisk test efter internationalt anerkendt metodik 5. Finansiel konsekvensanalyse — hjælper med at prioritere risici baseret på business impact 6. Probe audit trail — fuld gennemsigtighed om hvad der er testet og hvordan

Rapporten kan bruges direkte som dokumentation over for tilsynsmyndigheder som bevis på, at der er truffet rimelige tekniske foranstaltninger.

NIS2 skelner mellem "væsentlige" og "vigtige" enheder. Generelt gælder reglerne for virksomheder med mere end 50 ansatte eller en omsætning over 10 mio. EUR inden for de omfattede sektorer. Men også mindre virksomheder kan være omfattet, hvis de leverer kritiske tjenester.

Selvom din virksomhed ikke er direkte omfattet, kan dine kunder kræve, at du som leverandør dokumenterer din sikkerhed — forsyningskædesikkerhed er et centralt krav i NIS2. En PenLab-rapport viser tydeligt, at du tager websikkerhed alvorligt.