Der findes ingen fast takst for NIS2
Et konkret beløb for "NIS2-overholdelse" findes ikke, og ingen kan give dig det på forhånd med sikkerhed. Direktivet foreskriver ti kategorier af foranstaltninger, men måden hvorpå en virksomhed implementerer dem på, og således hvad det koster, varierer kraftigt fra situation til situation. En installationsfirma med et par bærbare computere og en bogføringspakke i skyen har et andet udgangspunkt end en virksomhed med sitt eget serverrum og flere it-leverandører.
Hvad der rent faktisk bestemmer omkostningerne, er et begrænset antal faktorer: størrelsen og kompleksiteten af dit it-miljø, hvor mange af de ønskede foranstaltninger du allerede har implementeret, om du outsourcer arbejde til en ekstern part, og hvilke værktøjer eller software du anskaffer. Det gør det svært at nævne et beløb, men dog muligt at forstå, hvor pengene går hen.
Hvad der bestemmer din egen situation
Den første omkostningspost er ofte ikke synlig på en faktura: den tid, der internt er nødvendig for at inventarisere, hvad der allerede eksisterer. Hvem skal have adgang til hvilke systemer, hvilke leverandører har adgang til dit netværk, og hvordan håndteres en hændelse i øjeblikket. Virksomheder, der allerede har fået denne basis i orden, for eksempel fordi de tidligere har påbegyndt en ISO 27001-proces, har mindre arbejde end virksomheder, der starter fra nul.
Den anden faktor er valget mellem at gøre det selv og at outsource. Nogle foranstaltninger, såsom en politik for adgangskontrol eller en procedure for rapportering af hændelser, er først og fremmest et spørgsmål om dokumentation og aftaler. Andre foranstaltninger, såsom kryptering af data eller overvågning af netværkstrafik, kræver snarere teknik og således software eller en ekstern leverandør. Hvor meget af sidstnævnte der er nødvendigt, afhænger af, hvad der allerede eksisterer.
Den tredje faktor er spørgsmålet om, hvorvidt du tilknytter et rådgivningsbureau til hele processen, eller kun til dele af den. Fuld vejledning koster mere end målrettet hjælp til specifikke områder, men sparer intern tid. Hvilket valg der er mere økonomisk, varierer fra virksomhed til virksomhed og er ikke et spørgsmål, der kan besvares på generel basis. Hvis du først vil se, hvilke områder der er relevante for din egen virksomhed, kan du gøre det selv med et par korte spørgsmål.
Omkostninger, der ofte bliver glemt
Ud over de direkte omkostninger ved foranstaltninger og rådgivning er der omkostninger, der først senere bliver synlige. Dokumentation såsom en risikovurdering eller et overblik over adgangsrettigheder har ofte en gyldighed og skal opdateres periodisk. Det er ikke en engangsudgift, men en tilbagevendende opgave, og den tid, det tager, tæller med i det samlede billede.
Derudover sender kunder i stigende grad spørgeskemaer om cybersikkerhed, og hver kunde bruger sit eget format og portal. Det at skulle udfylde stort set de samme informationer igen og igen koster tid, der let undervurderes. Et overblik over, hvilke emner der genoptræder her, findes udarbejdet for hver enkelt situation i videnbasen.
Hvad supplia gør og ikke gør i denne proces
Supplia.eu opbygger ingen certificering og giver ingen vurdering af dit sikkerhedsniveau; det forbliver dit ansvar, dit rådgivers ansvar og den kompetente tilsynsmyndigheds ansvar. Hvad platformen gør, er at hjælpe til med at få de svar, du allerede har dokumenteret, til at blive ved konsekvent at vende tilbage i de spørgeskemaer, dine kunder sender til dig. Det sparer ikke en øre på de underliggende foranstaltninger, men vel på den tid, det tager at dokumentere og levere dem igen og igen.
Grundinformationen om NIS2 og de øvrige begreber, der genoptræder i spørgeskemaer, er gratis at råde sig af sted med, inklusive kilden i den officielle tekst. Hvad et abonnement tilføjer, er udarbejdelsen af hver enkelt forpligtelse med de tilhørende tidsfrister og skabeloner, samt en meddelelse, så snart der sker noget, der berører din situation. Forskellene mellem gratis og betalt vises tydeligt på prisside.
Sådan når du til et realistisk skøn
Da beløbet afhænger af din egen udgangssituation, er det mest brugbare første skridt ikke at søge efter en gennemsnitlig takst, men at fastslå, hvor du står nu. Først derefter er en samtale med en it-leverandør, konsulentfirma eller tilsynsmyndighed fornuftig, da de først kan sige noget om omkostninger, når det er kendt, hvad der allerede er til stede, og hvad der stadig mangler. For spørgsmål, der specifikt vedrører dit selskab, forbliver en juridisk rådgiver eller specialiseret konsulentfirma det rette kontaktpunkt; denne artikel beskriver den generelle linje, ingen rådgivning for en individuel situation.
Vil du først se, hvilke komponenter der er relevante for dit selskab, før du begynder at sammenligne omkostninger? Foretag den gratis quick-scan eller bladr gennem emnerne i videnbanken for at se, hvor du står.